CVE-2026-114570

ŚrednieCVSS 4.9

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

WordPress Core (wszystkie wersje do 7.0.2 włącznie) jest podatny na przechowywany Cross-Site Scripting poprzez funkcję Quick Edit z powodu niewystarczającego escapowania nazw wyświetlanych użytkowników. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy wyżej uprawniony użytkownik otworzy odpowiednie ekrany administracyjne. Problem dotyczy wyłącznie witryn z dużą liczbą użytkowników.

Ocena ryzyka

Atakujący z kontem Contributor może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce administratora, co może prowadzić do przejęcia sesji lub wykonania działań w imieniu uprzywilejowanego użytkownika. Ryzyko dotyczy witryn z dużą liczbą użytkowników.

Rekomendacja

Zaktualizuj WordPress Core do wersji nowszej niż 7.0.2. Ogranicz liczbę kont o podwyższonych uprawnieniach i weryfikuj nazwy wyświetlane użytkowników.

Inne podatności w WordPress Core

CVE-2026-119977Wysokie
WordPress Core w wersjach 4.7–7.1.3 jest podatny na zdalne wykonanie kodu (RCE) z powodu przewidywalnych, dostępnych przez sieć ścieżek staging używanych podczas pełnych aktualizacji pakietu rdzenia. Umożliwia to nieuwierzytelnionym atakującym wykonanie kodu na serwerze w oknie aktualizacji.

Oryginalny opis (angielski, źródło NVD)

WordPress Core is vulnerable to Stored Cross-Site Scripting via Quick Edit in all versions up to, and including, 7.0.2 due to insufficient escaping of user display names. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a higher privileged user accesses the affected administrative screens. This issue only affects sites with a large number of users.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS