CVE-2026-116520

WysokieCVSS 7.2

Opublikowano: 31/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Wtyczka PPWP – Password Protect Pages dla WordPressa w wersjach do 1.9.26 włącznie jest podatna na przechowywany XSS poprzez parametr 'comment / shortcode attribute desc_below_form (and placeholder as the marker-smuggling helper)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Ocena ryzyka

Atakujący może wykonać dowolny JavaScript w kontekście przeglądarki użytkowników odwiedzających zainfekowaną stronę, co może prowadzić do kradzieży sesji lub danych. Ryzyko jest zwiększone, ponieważ exploitacja nie wymaga uwierzytelnienia, a mechanizm auto-akceptacji komentarzy ułatwia dostarczenie ładunku.

Rekomendacja

Zaktualizuj wtyczkę PPWP do wersji nowszej niż 1.9.26 i rozważ wyłączenie automatycznej akceptacji komentarzy dla znanych adresów e-mail. Dodatkowo wdróż nagłówki CSP oraz regularnie przeglądaj zatwierdzone komentarze pod kątem podejrzanych treści.

Inne podatności w PPWP – Password Protect Pages

CVE-2026-3639Średnie
Wtyczka PPWP – Password Protect Pages dla WordPressa jest podatna na przechowywany atak XSS (Cross-Site Scripting) poprzez atrybuty shortcode'u `ppwp` we wszystkich wersjach do 1.9.21 włącznie. Przyczyną jest niedostateczna sanityzacja wejścia i brak escapingu wyjścia dla atrybutów dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.

Oryginalny opis (angielski, źródło NVD)

The PPWP – Password Protect Pages plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment / shortcode attribute desc_below_form (and placeholder as the marker-smuggling helper)' parameter in all versions up to, and including, 1.9.26 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable by unauthenticated attackers because WordPress's comment_content filter leaves bare shortcode text (containing no HTML tags) untouched, and the comment_whitelist setting auto-approves subsequent comments from a previously approved name and email without administrator intervention.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS