CVE-2026-109897

Wtyczka Strong Testimonials firmy WP Chill zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 3.3.12.

Wtyczka Strong Testimonials dla WordPressa jest podatna na przechowywane ataki XSS przez pole niestandardowe 'platform_user_photo' w wersjach do 3.3.11 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga, aby administrator dodał pola tekstowe 'platform' i 'platform_user_photo' do publicznego formularza zgłoszeń.

Wtyczka Strong Testimonials (do wersji 3.3.11) ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.

Wtyczka Strong Testimonials dla WordPress jest podatna na trwałe Cross-Site Scripting poprzez atrybut shortcode 'lightbox_class' we wszystkich wersjach do 3.3.8 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelnieni atakujący z uprawnieniami współpracownika mogą wstrzykiwać skrypty wykonujące się przy dostępie do strony.

Wtyczka Strong Testimonials dla WordPress w wersjach do 3.2.21 zawiera podatność na trwałe XSS poprzez shortcode testimonial_view z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia na atrybutach dostarczonych przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.

Wtyczka Strong Testimonials dla WordPressa do wersji 3.2.16 jest podatna na arbitralne wykonanie shortcode'ów. Użytkownicy mogą przesyłać testimonial z wartością, która nie jest odpowiednio walidowana ani sanityzowana przed przekazaniem do funkcji do_shortcode. Niezautentykowani atakujący mogą wykonać arbitralne shortcode'y, jeśli administrator podgląda lub publikuje spreparowany testimonial.