CVE-2026-11591
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Widgets for Google Reviews dla WordPressa jest podatna na trwały atak XSS przez ustawienia administratora we wszystkich wersjach do 13.3 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, co prowadzi do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych wrażliwych. Podatność dotyczy tylko instalacji wielostanowiskowych oraz tych, gdzie wyłączono filtrowanie niebezpiecznego HTML.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Widgets for Google Reviews do najnowszej dostępnej wersji. W przypadku instalacji wielostanowiskowych zaleca się dodatkowo włączenie filtrowania unfiltered_html dla niższych ról.
Inne podatności w Widgets for Google Reviews
Oryginalny opis (angielski, źródło NVD)
The Widgets for Google Reviews plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 13.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with editor-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS