CVE-2026-108498
WysokieCVSS 7.1Streszczenie
Wtyczka BSK PDF Manager (WordPress) do wersji 3.8.1 nie neutralizuje prawidłowo danych wejściowych podczas generowania stron, co umożliwia atak Stored XSS. Złośliwy skrypt zapisany w aplikacji jest później wykonywany w przeglądarce innych użytkowników.
Ocena ryzyka
Atakujący może zapisać złośliwy kod JavaScript, który wykona się w sesjach administratorów i użytkowników, umożliwiając kradzież ciasteczek, przejęcie konta lub modyfikację treści witryny.
Rekomendacja
Zaktualizuj wtyczkę BSK PDF Manager do wersji nowszej niż 3.8.1 lub ją wyłącz, jeśli poprawka nie jest dostępna, oraz wdróż walidację i sanityzację danych wejściowych.
Inne podatności w BSK PDF Manager
Zobacz wszystkie- CVE-2026-65528Średnie
Wtyczka BSK PDF Manager w wersjach do 3.8 zawiera podatność na atak XSS (Cross Site Scripting) z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wstrzyknąć złośliwy skrypt JavaScript.
- CVE-2026-39686Średnie
Wtyczka BSK PDF Manager dla WordPress (wersje do 3.7.2) ujawnia wrażliwe informacje systemowe nieuprawnionym podmiotom, co pozwala na odzyskanie osadzonych wrażliwych danych.
- CVE-2025-4970Średnie
Wtyczka BSK PDF Manager dla WordPressa jest podatna na Stored Cross-Site Scripting przez przesyłanie plików SVG we wszystkich wersjach do 3.7.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escape'owania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi plik SVG. Problem dotyczy tylko instalacji wielostanowiskowych oraz instalacji, w których wyłączono unfiltered_html.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in bannersky BSK PDF Manager bsk-pdf-manager allows Stored XSS.This issue affects BSK PDF Manager: from n/a through 3.8.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS