CVE-2026-12154
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Reviews Widgets dla Google, Yelp i TripAdvisor do WordPressa w wersji do 2.7.3 zawiera podatność na trwałe ataki XSS. Atakujący z dostępem na poziomie autora lub wyższym mogą wstrzyknąć dowolny skrypt przez atrybut 'page_id' w shortcode [fbrev].
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce administratora lub użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub defacementu strony.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do najnowszej wersji, która usuwa podatność, oraz ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Oryginalny opis (angielski, źródło NVD)
The Reviews Widgets for Google, Yelp & TripAdvisor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'page_id' shortcode attribute of the [fbrev] shortcode in versions up to and including 2.7.3. This is due to insufficient input sanitization and output escaping in the Feed_Shortcode::fbrev() method, which passes the raw shortcode attribute through Feed_Old::get_feed() into the View::render() method, where it is echoed directly into the data-id HTML attribute without esc_attr(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.