CVE-2026-119160

ŚrednieCVSS 6.4

Opublikowano: 31/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Smart Post dla WordPressa (wersje do 4.0.9) jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'display_name' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Eksploatacja wymaga, aby strona ofiary zawierała blok Author Filter wraz z blokiem siatki lub live-filter, a wykonanie jest wyzwalane przez kliknięcie wpisu autora atakującego w rozwijanym menu.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, potencjalnie przejmując sesję lub kradnąc dane. Wymaga to interakcji użytkownika z zainfekowanym elementem interfejsu.

Rekomendacja

Zaktualizuj wtyczkę Smart Post do wersji nowszej niż 4.0.9. Dodatkowo wdróż politykę bezpieczeństwa treści (CSP) i regularnie przeglądaj treści generowane przez użytkowników.

Inne podatności w Smart Post WordPress plugin

CVE-2026-78150Niskie
Wtyczka WordPress Smart Post przed wersją 4.0.8 nie sprawdza typu, własności ani statusu posta, który ma zostać zduplikowany, co pozwala użytkownikom z uprawnieniami współautora i wyższym na skopiowanie dowolnego prywatnego lub chronionego hasłem posta do własnego szkicu i odczytanie jego treści oraz metadanych.

Oryginalny opis (angielski, źródło NVD)

The Smart Post – Post Grid, Post Carousel, Post Slider Gutenberg Blocks for Blog & News plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'display_name' parameter in all versions up to, and including, 4.0.9 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the victim page to contain an Author Filter block alongside a grid or live-filter block, and execution is triggered by a visitor clicking the attacker's author entry in the dropdown — a standard filter interaction requiring no elevated privileges from the victim.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS