CVE-2026-12561
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka tagDiv Composer dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode vc_raw_html we wszystkich wersjach do 5.4.5 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia w metodzie vc_raw_html::render(), która dekoduje zawartość shortcode z base64 (po strip_tags(), które jest omijane, ponieważ zakodowany payload nie zawiera tagów przy zapisie) i łączy wynik bezpośrednio z HTML strony. Ponieważ filtr wp_kses_post() przy zapisie widzi tylko obojętny tekst base64 w normalnych nawiasach shortcode i nie dekoduje go, niebezpieczne tagi przetrwają w post_content i są emitowane bez escapowania w czasie renderowania. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę (np. gdy Edytor lub Administrator podgląda oczekujący wpis).
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych, a nawet przejęcie kont administratora, co może prowadzić do pełnej kompromitacji witryny.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki tagDiv Composer do najnowszej wersji oraz ograniczenie uprawnień do tworzenia treści tylko dla zaufanych użytkowników.
Inne podatności w tagDiv Composer
Zobacz wszystkie- CVE-2026-57734Wysokie
Wtyczka tagDiv Composer do WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 5.4.3 włącznie.
- CVE-2026-39712Średnie
Wtyczka tagDiv Composer (td-composer) dla WordPressa w wersjach do 5.4.3 włącznie zawiera podatność na podstawowy atak XSS (Basic XSS) poprzez niewłaściwą neutralizację skryptowych tagów HTML. Umożliwia to wstrzyknięcie kodu.
- CVE-2026-39692Średnie
Wtyczka tagDiv Composer dla WordPressa (wersje do 5.4.3 włącznie) zawiera podatność na Stored Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The tagDiv Composer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the vc_raw_html shortcode in all versions up to and including 5.4.5. This is due to insufficient input sanitization and output escaping in the vc_raw_html::render() method, which base64-decodes shortcode content (after a strip_tags() that is bypassed because the encoded payload contains no tags on save) and concatenates the result directly into the page HTML. Because WordPress's save-time wp_kses_post() filter only sees the inert base64 text inside a normal shortcode bracket and does not decode it, the dangerous tags survive into post_content and are emitted unescaped at render time. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page (for example, when an Editor or Administrator previews the pending post).