CVE-2026-12980

ŚrednieCVSS 6.8

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka Post Snippets dla WordPressa do wersji 4.2.4 nie escapuje prawidłowo wartości zmiennych podstawianych do snippetów przed ich wyświetleniem, co pozwala użytkownikom z rolą Współautor i wyżej na wstrzyknięcie dowolnych skryptów internetowych, które wykonują się podczas przeglądania treści.

Ocena ryzyka

Wstrzyknięte skrypty mogą prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania wśród użytkowników przeglądających treści.

Rekomendacja

Zaktualizuj wtyczkę Post Snippets do wersji nowszej niż 4.2.4, która zawiera poprawkę zabezpieczającą.

Inne podatności w Post Snippets

CVE-2026-56049Wysokie
Wersje Post Snippets do 4.0.19 zawierają podatność na zdalne wykonanie kodu (RCE), co może umożliwić atakującym uruchomienie nieautoryzowanego kodu na serwerze.

Oryginalny opis (angielski, źródło NVD)

The Post Snippets WordPress plugin through 4.2.4 does not properly escape variable values substituted into snippets before outputting them, allowing users with the Contributor role and above to inject arbitrary web scripts that execute when the content is viewed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS