CVE-2026-113409

ŚrednieCVSS 4.8

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Ortto dla WordPress przed wersją 1.0.25 nie escapowała zapisanych ustawień na stronie ustawień administratora, co prowadzi do przechowywanego XSS. Atakujący mogący zmodyfikować konfigurację wtyczki może wykonać dowolny JavaScript w sesji administratora odwiedzającego zagrożoną stronę.

Ocena ryzyka

Przechowywany XSS w panelu administratora może pozwolić na wykonanie dowolnego skryptu w sesji administratora, co grozi przejęciem konta i dalszą eskalacją uprawnień.

Rekomendacja

Zaktualizuj wtyczkę Ortto do wersji 1.0.25 lub nowszej i ogranicz możliwość modyfikacji konfiguracji wtyczki do zaufanych użytkowników.

Inne podatności w Ortto plugin for WordPress

CVE-2026-114173Średnie
Wtyczka Ortto dla WordPress przed wersją 1.0.25 nie filtrowała danych produktów WooCommerce osadzanych na publicznych stronach sklepu. Nieuwierzytelniony atakujący mógł odczytać hasła produktów i prywatne metadane produktów z zagrożonego sklepu.

Oryginalny opis (angielski, źródło NVD)

The Ortto plugin for WordPress before 1.0.25 did not escape stored settings on its admin settings page, leading to stored cross-site scripting. A threat actor able to modify the plugin's configuration could execute arbitrary JavaScript in an administrator's session when they visited the impacted page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS