CVE-2026-12731
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka weDocs dla WordPressa do wersji 2.3.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty bloków 'sectionTitleTag' i 'articleTitleTag'. Brak odpowiedniego oczyszczania danych wejściowych i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonują się przy każdym odwiedzeniu zainfekowanej strony.
Ocena ryzyka
Organizacja narażona jest na kradzież sesji użytkowników, przejęcie kont administratora oraz rozprzestrzenianie złośliwego oprogramowania poprzez zainfekowane strony dokumentacji.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę weDocs do najnowszej dostępnej wersji, która usuwa tę podatność. Ogranicz uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w weDocs
Zobacz wszystkie- CVE-2026-12734Średnie
Wtyczka weDocs dla WordPressa do wersji 2.3.0 włącznie zawiera podatność na trwałe ataki XSS przez atrybut bloku 'connectorWidth'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-12729Średnie
Wtyczka weDocs dla WordPressa w wersji do 2.3.0 zawiera brak autoryzacji w funkcji do_migration(). Atakujący z dostępem na poziomie Subskrybenta może wywołać migrację danych z BetterDocs do weDocs, tworząc i modyfikując wpisy typu 'docs' oraz dezaktywując wtyczki BetterDocs.
- CVE-2026-39520Średnie
Wtyczka weDocs dla WordPressa ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The weDocs: AI Powered Knowledge Base, Docs, Documentation, Wiki & AI Chatbot plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'sectionTitleTag' and 'articleTitleTag' Block Attributes in all versions up to, and including, 2.3.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.