CVE-2026-11371
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka BetterDocs dla WordPressa przed wersją 4.5.5 nie oczyszcza podsumowania dokumentacji generowanego przez AI przed jego zapisaniem i wyświetleniem. Funkcja generująca to podsumowanie jest dostępna dla niezalogowanych użytkowników, co pozwala im na przechowywanie złośliwego ładunku poprzez wstrzyknięcie promptu, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym administratorów.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach administratorów i innych użytkowników, prowadząc do kradzieży sesji, przejęcia konta lub dalszego ataku na witrynę.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę BetterDocs do wersji 4.5.5 lub nowszej. Ogranicz dostęp do funkcji generowania podsumowań AI tylko dla uwierzytelnionych użytkowników.
Inne podatności w BetterDocs
Zobacz wszystkie- CVE-2026-65562Średnie
Wtyczka BetterDocs w wersji 4.6.2 i starszych ma podatność na atak XSS (Cross Site Scripting) dla użytkowników z rolą Współautora. Współautor może wstrzyknąć złośliwy kod JavaScript.
- CVE-2026-15104Średnie
Wtyczka BetterDocs dla WordPressa w wersjach do 4.6.0 zawiera podatność na wstrzykiwanie SQL przez parametr 'lang'. Uwierzytelniony atakujący z dostępem na poziomie niestandardowym lub wyższym może dołączać dodatkowe zapytania SQL, co umożliwia wyodrębnienie wrażliwych danych z bazy. Wymagana jest aktywna obsługa wielojęzyczności (WPML, Polylang, qTranslate, Weglot lub TranslatePress).
Oryginalny opis (angielski, źródło NVD)
The BetterDocs WordPress plugin before 4.5.5 does not sanitise an AI-generated documentation summary before storing and outputting it, and the feature that generates it is exposed to unauthenticated users, allowing them to store a malicious payload via prompt injection that executes in the browser of any visitor who views the affected page, including administrators.