CVE-2026-109983
ŚrednieCVSS 6.4Streszczenie
Wtyczka YMC Filter dla WordPress jest podatna na Stored DOM-Based Cross-Site Scripting poprzez parametr 'post_title' we wszystkich wersjach do 3.12.19 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami autora mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zarażoną stronę.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj wtyczkę YMC Filter do wersji nowszej niż 3.12.19, która zawiera poprawki sanityzacji i escapowania.
Inne podatności w YMC Filter
Zobacz wszystkie- CVE-2026-16559Średnie
Wtyczka YMC Filter dla WordPressa przed wersją 3.12.9 nie sanityzuje plików SVG przesyłanych przez jedną z funkcji przesyłania ikon i zezwala na ich przesyłanie użytkownikom z niskimi uprawnieniami. Użytkownicy z rolą Autora i wyższą mogą przesłać plik zawierający JavaScript, który wykonuje się w kontekście strony po jego wyświetleniu.
- CVE-2026-16558Średnie
Wtyczka YMC Filter dla WordPressa przed wersją 3.12.8 nie sanityzuje i nie escapuje ustawienia kreatora układu przed wyświetleniem go w publicznym punkcie końcowym oraz nie weryfikuje własności obiektu podczas zapisywania ustawienia. Użytkownicy z rolą Współautor i wyższą mogą przechowywać JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego dotknięty filtr.
Oryginalny opis (angielski, źródło NVD)
The YMC Filter plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via the 'post_title' parameter in all versions up to, and including, 3.12.19 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The autocomplete REST endpoint is registered with a permission callback that unconditionally returns true, meaning any site visitor — including unauthenticated users — can trigger the payload simply by typing in the YMC filter search box, while only Author-level access is required to store it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS