CVE-2026-1256

ŚrednieCVSS 6.4

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka YS LeadGen dla WordPressa jest podatna na obejście autoryzacji i przechowywany atak XSS poprzez wiele endpointów AJAX we wszystkich wersjach do 2.1.4 włącznie, z powodu braku sprawdzania uprawnień w akcjach zarządzania popupami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej tworzenie dowolnych popupów i wstrzykiwanie złośliwego JavaScript, który wykonuje się przy wyświetleniu popupu, prowadząc do przechowywanego XSS.

Ocena ryzyka

Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych i rozprzestrzenianie złośliwego oprogramowania na stronie.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji oraz wdrożenie zasady najmniejszych uprawnień.

Inne podatności w YS LeadGen

CVE-2026-1255Wysokie
Wtyczka YS LeadGen dla WordPressa w wersjach do 2.1.4 włącznie jest podatna na ujawnienie danych wrażliwych. Akcja AJAX 'ysleadgen_get_captured_data' jest dostępna dla nieuwierzytelnionych użytkowników, co pozwala na odczyt wszystkich danych z formularzy, w tym danych osobowych (imiona, adresy e-mail, treści wiadomości).

Oryginalny opis (angielski, źródło NVD)

The YS LeadGen plugin for WordPress is vulnerable to authorization bypass and Stored Cross-Site Scripting via multiple AJAX endpoints in all versions up to, and including, 2.1.4 due to missing capability checks on popup management actions. This makes it possible for authenticated attackers, with Subscriber-level access and above, to create arbitrary popups and inject malicious JavaScript that executes when the popup is displayed, leading to Stored XSS.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS