CVE-2026-13334
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Mang Board WP dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'stag' we wszystkich wersjach do 2.3.4 włącznie. Podatność wynika z niewystarczającej sanitizacji wejścia i braku odpowiedniego kodowania wyjścia.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć dowolny skrypt JavaScript, który wykona się w przeglądarce ofiary po kliknięciu przez nią spreparowanego linku. Może to prowadzić do kradzieży sesji, przekierowań do złośliwych stron lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Mang Board WP do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy tymczasowo wyłączyć wtyczkę.
Inne podatności w Mang Board WP
Zobacz wszystkie- CVE-2026-75977Wysokie
Wtyczka Mang Board WP dla WordPressa jest podatna na brak autoryzacji poprzez fałszowanie ciasteczek uwierzytelniających we wszystkich wersjach do 2.3.7 włącznie. Wynika to z błędnej generacji HMAC w funkcji mbw_get_hash_key(), która używa tożsamości bieżącego użytkownika zamiast parametru nazwy użytkownika z ciasteczka, gdy użytkownik WordPressa jest zalogowany, oraz z niewystarczającej walidacji w mbw_validate_auth_cookie(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej fałszowanie ciasteczek uwierzytelniających administratora i zmianę haseł administratorów, co prowadzi do całkowitego przejęcia witryny.
- CVE-2026-61974Wysokie
Wtyczka Mang Board WP w wersjach do 2.3.4 zawiera podatność na atak XSS (Cross Site Scripting), która może być wykorzystana bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
The Mang Board WP plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'stag' parameter in all versions up to, and including, 2.3.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.