CVE-2026-12042

ŚrednieCVSS 4.4

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka WP2Social Auto Publish dla WordPressa (wersje do 2.4.12 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez ustawienia administratora z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora i wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Dotyczy to wyłącznie instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.

Ocena ryzyka

Atakujący z uprawnieniami administratora może wstrzyknąć trwały kod JavaScript, który wykona się u wszystkich odwiedzających, co może prowadzić do kradzieży sesji lub przejęcia kont. Wymaga uprawnień administratora, ale w instalacjach multisite może być wykorzystane do eskalacji.

Rekomendacja

Zaktualizuj wtyczkę WP2Social Auto Publish do wersji nowszej niż 2.4.12. Do czasu aktualizacji rozważ ograniczenie liczby administratorów i weryfikację ustawień wtyczki.

Inne podatności w WP2Social Auto Publish

CVE-2025-12064Średnie
Wtyczka WP2Social Auto Publish dla WordPressa jest podatna na odbity atak XSS przez PostMessage w wersjach do 2.4.7 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzyknąć skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Oryginalny opis (angielski, źródło NVD)

The WP2Social Auto Publish plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 2.4.12 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS