CVE-2026-10827
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Spectra Legacy do WordPressa przed wersją 2.20.0 nie waliduje ani nie koduje kilku atrybutów stylów bloków przed użyciem ich do budowania CSS wyświetlanego na froncie, co pozwala użytkownikom z rolą Współautora i wyższym na wstrzyknięcie dowolnego CSS do stron renderujących dotknięty blok.
Ocena ryzyka
Wstrzyknięty CSS może wymusić ładowanie zewnętrznych zasobów, zniekształcić stronę lub wyciekać dane za pomocą selektorów atrybutów CSS, co może prowadzić do deface'u lub kradzieży danych.
Rekomendacja
Zaktualizuj wtyczkę Spectra Legacy do wersji 2.20.0 lub nowszej, która zawiera poprawkę walidacji atrybutów stylów.
Oryginalny opis (angielski, źródło NVD)
The Spectra Legacy WordPress plugin before 2.20.0 does not validate or escape several block style attributes before using them to build the CSS it outputs on the front end, allowing users with the Contributor role and above to inject arbitrary CSS into the pages that render the affected block. The injected styles are served to anonymous visitors of those pages and can force external resource loads, deface/redress the page, or exfiltrate data via CSS attribute selectors. JavaScript execution is not possible at this role (the script-tag breakout is removed by KSES), so the impact is limited to CSS injection.