CVE-2026-109388
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka HivePress – Business Directory, Listings & Classified Ads dla WordPressa (wersje do 1.7.32 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'message' z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta może wstrzyknąć skrypty, które wykonają się w przeglądarce ofiary w momencie udanego logowania przez formularz na stronie ogłoszenia atakującego.
Ocena ryzyka
Atakujący z kontem subskrybenta może wstrzyknąć złośliwe skrypty, które mogą wykraść dane logowania lub sesji, prowadząc do przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę HivePress do wersji nowszej niż 1.7.32 i rozważ wyłączenie możliwości dodawania ogłoszeń przez użytkowników, jeśli nie jest to konieczne.
Powiązane podatności
- CVE-2026-111472Krytyczne
W oprogramowaniu TSG Profleet wykryto podatność na wstrzyknięcie SQL. Atakujący może odczytywać, tworzyć, modyfikować i usuwać dane z bazy danych, wysyłając żądanie GET z parametrem 'Identificación' do endpointu '/cgi-bin/index.php'.
- CVE-2026-94388Krytyczne
Wtyczka Green Popups (halfdata-green-popups) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Podatność umożliwia atakującemu przeprowadzenie ślepego wstrzyknięcia SQL.
- CVE-2026-94169Krytyczne
Wtyczka The Grid (the-grid) zawiera podatność typu Code Injection wynikającą z niewłaściwej kontroli generowania kodu. Podatność umożliwia atakującemu wstrzyknięcie i wykonanie dowolnych poleceń.
- CVE-2026-104730Krytyczne
Wtyczka Sunshine Photo Cart – Client Photo Gallery & Photo Proofing for Photographers dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 3.7.4 włącznie, poprzez deserializację niezaufanych danych wejściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP, jednak bez łańcucha POP w podatnej wtyczce nie ma to bezpośredniego wpływu.
- CVE-2026-89079Krytyczne
Wtyczka Theme My Login dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta w wersjach do 7.2.1 włącznie. Wynika to z braku właściwej weryfikacji tożsamości użytkownika przed aktualizacją hasła, co umożliwia nieuwierzytelnionym atakującym zmianę haseł dowolnych użytkowników w konfiguracjach multi-site.
- CVE-2026-103768Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 3.3.7 włącznie poprzez funkcję initMailPart. Wynika to z niewystarczającej walidacji typu pliku podczas zapisywania załączników e-mail IMAP, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.
- CVE-2026-109515Krytyczne
Wtyczka MailOptin dla WordPressa (wersje do 1.2.78.6 włącznie) jest podatna na eskalację uprawnień. Endpoint subscribe_to_email_list przyjmuje parametr optin_data[form_custom_field_mappings] bez walidacji, co pozwala nadpisać mapowanie administratora i przekazać dowolne kolumny tabeli wp_users (w tym ID i user_pass) do funkcji wp_insert_user().
- CVE-2026-109219Krytyczne
Wtyczka Mang Board dla WordPressa (wersje do 2.4.4 włącznie) jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-104798Krytyczne
Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.
- CVE-2026-111444Krytyczne
Wheels do wersji 4.1.2 pozwala na wstrzyknięcie SQL na MySQL/MariaDB z włączonym escapowaniem backslashy (brak NO_BACKSLASH_ESCAPES), gdy aplikacja przekazuje dane żądania do ścieżek inline-literal. Dotyczy to zapytań z parameterize=false, list IN oraz miejsc w where, które parser nie binduje, takich jak granice BETWEEN, argumenty funkcji i literały LIKE ESCAPE.
Oryginalny opis (angielski, źródło NVD)
The HivePress – Business Directory, Listings & Classified Ads Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'message' parameter in all versions up to, and including, 1.7.32 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that the site administrator has enabled user listing submission, and the script executes in the victim's browser at the moment of successful login via the embedded form on the attacker's listing page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS