CVE-2026-107648
WysokieCVSS 7.2Streszczenie
Wtyczka WordPress WP Sessions Time Monitoring Full Automatic jest podatna na trwałe skryptowanie krzyżowe (Stored XSS) poprzez parametr 'action' (a także function, plugin, post_type, post_status, ids, loggedout oraz POST post_title) we wszystkich wersjach do 1.1.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć trwałe skrypty do witryny WordPress, które wykonają się w przeglądarce administratora lub użytkownika, umożliwiając kradzież sesji, przekierowania lub modyfikację treści.
Rekomendacja
Zaktualizuj wtyczkę WP Sessions Time Monitoring Full Automatic do wersji nowszej niż 1.1.5 lub ją wyłącz, jeśli poprawka nie jest dostępna.
Inne podatności w WP Sessions Time Monitoring Full Automatic
Oryginalny opis (angielski, źródło NVD)
The WP Sessions Time Monitoring Full Automatic plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'action (also function, plugin, post_type, post_status, ids, loggedout, and POST post_title)' parameter in all versions up to, and including, 1.1.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS