CVE-2026-115610
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce PublishPress Authors pozwala na przechowywany XSS. Podatność dotyczy wersji do 4.17.0 włącznie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkowników serwisu, co może prowadzić do kradzieży sesji lub działań w imieniu ofiar.
Rekomendacja
Zaktualizuj wtyczkę PublishPress Authors do wersji nowszej niż 4.17.0.
Inne podatności w PublishPress Authors
Zobacz wszystkie- CVE-2026-111592Średnie
Wtyczka PublishPress Authors dla WordPressa jest podatna na przechowywane XSS poprzez parametr 'name' (mapowany na display_name) w wersjach do 4.17.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby konto atakującego miało przypisany termin autora, co nie jest domyślne dla nowych użytkowników.
- CVE-2026-85657Średnie
Wtyczka Co-Authors, Multiple Authors and Guest Authors in an Author Box with PublishPress Authors dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'profile_fields_user_email_value_prefix' we wszystkich wersjach do 4.15.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Autora lub wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się po kliknięciu linku przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in PublishPress PublishPress Authors publishpress-authors allows Stored XSS.This issue affects PublishPress Authors: from n/a through 4.17.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS