CVE-2026-109513

WysokieCVSS 7.2

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka NotificationX dla WordPressa (wersje do 3.3.3 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'name' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Wykorzystanie wymaga wcześniejszego włączenia kampanii WordPress.org Reviews i umieszczenia bloku dynamicznego na publicznej stronie, co może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika.

Rekomendacja

Zaktualizować wtyczkę NotificationX do wersji nowszej niż 3.3.3 lub ją wyłączyć; rozważyć wyłączenie kampanii WordPress.org Reviews i usunięcie bloku dynamicznego z publicznych stron.

Inne podatności w NotificationX

CVE-2026-110721Średnie
Wtyczka NotificationX dla WordPress w wersjach do 3.3.3 włącznie jest podatna na brak autoryzacji prowadzący do wstrzyknięcia dowolnej treści. Trasa REST /notificationx/v1/popup-submit jest zarejestrowana z permission_callback => '__return_true', a handler PopupNotification::handle_popup_submission() przyjmuje kontrolowane przez atakującego nx_id, ładuje wskazaną kampanię NotificationX i kopiuje jej źródło do nowego wpisu bez weryfikacji, czy kampania jest typu Popup Notification lub Exit Intent Popup.

Oryginalny opis (angielski, źródło NVD)

The NotificationX – FOMO, Live Sales Notification, WooCommerce Sales Popup, GDPR, Social Proof, Announcement Banner & Floating Notification Bar plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'name' parameter in all versions up to, and including, 3.3.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires that an administrator has previously enabled a WordPress.org Reviews campaign and placed the notificationx-pro/notificationx dynamic block on a public page, both of which are documented, supported plugin workflows.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS