CVE-2026-11570
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka User Submitted Posts dla WordPressa przed wersją 20260608 nie zabezpiecza przesłanej wartości przed wyświetleniem jej w szablonie skonfigurowanym przez administratora, co prowadzi do podatności na trwałe Cross-Site Scripting (XSS). Podatność może być wykorzystana przez nieuwierzytelnionych użytkowników, gdy włączona jest niestandardowa opcja wyświetlania.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt JavaScript, który wykona się w przeglądarkach administratorów lub innych użytkowników odwiedzających stronę, prowadząc do kradzieży sesji, defacementu lub dalszych ataków.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę User Submitted Posts do wersji 20260608 lub nowszej. Jeśli aktualizacja nie jest możliwa, wyłącz niestandardową opcję wyświetlania w ustawieniach wtyczki.
Inne podatności w User Submitted Posts
Zobacz wszystkie- CVE-2026-62084Średnie
Podatność polegająca na nieprawidłowej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce User Submitted Posts, umożliwiająca atak Stored XSS. Dotyczy wersji od n/a do 20260810.
- CVE-2025-68509Średnie
Wtyczka WordPress 'User Submitted Posts' do wersji 20251121 zawiera podatność na otwarte przekierowanie (Open Redirect), które może być wykorzystane do phishingu.
Oryginalny opis (angielski, źródło NVD)
The User Submitted Posts WordPress plugin before 20260608 does not escape a submitted value before outputting it in an admin-configured display template, leading to a Stored Cross-Site Scripting that can be triggered by unauthenticated users when a non-default display option is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS