CVE-2026-107627

ŚrednieCVSS 5.4

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Wtyczka Greenshift – animation and page builder blocks dla WordPressa jest podatna na przechowywany XSS oparty na DOM poprzez parametr 'comment' we wszystkich wersjach do 13.2.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga opublikowania przez administratora strony zawierającej blok Text Animated z ustawieniem Content na Blocks, zagnieżdżony blok Latest Comments z włączonymi fragmentami i co najmniej jedną skonfigurowaną wartość Animated Texts.

Ocena ryzyka

Może prowadzić do wykonania złośliwego kodu JavaScript w przeglądarkach użytkowników, co stwarza ryzyko kradzieży sesji i przejęcia konta. Wymaga jednak specyficznej konfiguracji bloków na stronie.

Rekomendacja

Zaktualizuj wtyczkę Greenshift do wersji nowszej niż 13.2.1. Do czasu aktualizacji unikaj konfiguracji łączących blok Text Animated z Content ustawionym na Blocks i zagnieżdżonym blokiem Latest Comments.

Inne podatności w Greenshift

CVE-2026-107629Średnie
Wtyczka Greenshift – animation and page builder blocks dla WordPressa jest podatna na przechowywany XSS oparty na DOM poprzez parametr 'comment' we wszystkich wersjach do 13.2.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby strona zawierała blok Advanced HTML Element z włączoną animacją Split Text otaczającą blok Latest Comments wyświetlający fragmenty komentarzy.

Oryginalny opis (angielski, źródło NVD)

The Greenshift – animation and page builder blocks plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via the 'comment' parameter in all versions up to, and including, 13.2.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires an administrator to have published a page containing a Text Animated block with Content set to Blocks, a Latest Comments block with excerpts enabled nested inside it, and at least one Animated Texts value configured — conditions that cause the gs-textanimate script to be enqueued and process the comment excerpts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS