CVE-2026-112867
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka H5P do wersji 1.17.9 zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Dane użytkownika nie są prawidłowo oczyszczane przed zapisaniem.
Ocena ryzyka
Atakujący może zapisać złośliwy skrypt JavaScript, który wykona się u innych użytkowników, umożliwiając kradzież sesji lub inne działania w kontekście witryny.
Rekomendacja
Zaktualizuj wtyczkę H5P do wersji nowszej niż 1.17.9 lub wyłącz ją, jeśli aktualizacja nie jest możliwa.
Inne podatności w H5P
Zobacz wszystkie- CVE-2026-56006Wysokie
W wersjach H5P do 1.17.6 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-112868Średnie
H5P do wersji 1.17.9 zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-57321Wysokie
Wtyczka H5P w wersji 1.17.7 i starszych zawiera podatność umożliwiającą współtwórcy (contributor) usunięcie dowolnego pliku na serwerze. Luka wynika z braku odpowiedniej walidacji uprawnień podczas operacji usuwania plików.
- CVE-2025-68505Średnie
Wtyczka H5P (wersje do 1.16.1 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji od n/a do 1.16.1.
- CVE-2025-62951Średnie
Wtyczka H5P (icc0rz) zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do <= 1.16.0.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in H5P H5P h5p allows Stored XSS.This issue affects H5P: from n/a through 1.17.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS