CVE-2026-13005

ŚrednieCVSS 4.4

Opublikowano: 16/07/2026(UTC)Zaktualizowano: 16/07/2026(UTC)Przetłumaczono: 17/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka MxChat – AI Chatbot & Content Generation dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administratora we wszystkich wersjach do 3.2.10 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Ocena ryzyka

Uwierzytelniony atakujący z uprawnieniami administratora może wstrzyknąć dowolny skrypt JavaScript, który wykona się przy każdym dostępie do zainfekowanej strony. Ryzyko dotyczy głównie instalacji wielostanowiskowych oraz tych, gdzie wyłączono filtrowanie HTML (unfiltered_html).

Rekomendacja

Niezwłocznie zaktualizuj wtyczkę MxChat do wersji 3.2.11 lub nowszej. W przypadku instalacji wielostanowiskowych ogranicz uprawnienia administratorów i włącz filtrowanie HTML (unfiltered_html).

Inne podatności w MxChat

CVE-2025-10705Średnie
Wtyczka MxChat – AI Chatbot for WordPress w wersjach do 2.4.6 włącznie jest podatna na ślepą podatność Server-Side Request Forgery (SSRF) z powodu niewystarczającej walidacji adresów URL dostarczanych przez użytkownika w funkcji przetwarzania PDF. Nieuwierzytelniony atakujący może zmusić serwer WordPress do wykonania żądań HTTP do dowolnych miejsc docelowych poprzez akcję AJAX 'mxchat_handle_chat_request'.

Oryginalny opis (angielski, źródło NVD)

The MxChat – AI Chatbot & Content Generation for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 3.2.10 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS