CVE-2026-109322

ŚrednieCVSS 6.1

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Grav Guestbook przed 0.5.2 zawiera podatność na trwały cross-site scripting, ponieważ jej handlery AJAX Load more i Admin Load all wstawiają zapisane pola autora i wiadomości do DOM jako nieucieczony HTML przez jQuery. Nieuwierzytelnieni odwiedzający mogą wysyłać znaczniki, które wykonują się w przeglądarkach innych odwiedzających, a w wersjach 0.5.0 i 0.5.1 również w sesjach moderacji administratora.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarkach użytkowników i administratorów, co może prowadzić do kradzieży sesji, rozprzestrzeniania złośliwego oprogramowania lub przejęcia kont.

Rekomendacja

Zaktualizuj wtyczkę Grav Guestbook do wersji 0.5.2 lub nowszej, która zawiera poprawkę eliminującą podatność.

Inne podatności w Grav Guestbook

CVE-2026-109319Średnie
Wtyczka Grav Guestbook 0.5.0 i 0.5.1 zawiera podatności na brak autoryzacji i cross-site request forgery w akcjach moderacji Admin: delete, approve i approveAll. Uwierzytelnieni administratorzy bez uprawnienia admin.guestbook lub zewnętrzne strony nadużywające sesji moderatora przez żądania GET bez nonce mogą usuwać lub zatwierdzać wpisy w księdze gości.

Oryginalny opis (angielski, źródło NVD)

Grav Guestbook plugin before 0.5.2 contains a stored cross-site scripting vulnerability because its AJAX Load more and Admin Load all handlers insert stored author and message fields into the DOM as unescaped HTML via jQuery. Unauthenticated visitors can submit markup that executes in other visitors' browsers and, in versions 0.5.0 and 0.5.1, in administrator moderation sessions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS