CVE-2026-13354

WysokieCVSS 7.2

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka Asset CleanUp: Page Speed Booster dla WordPressa (wersje do 1.4.0.5 włącznie) pozwala na przechowywany cross-site scripting przez treść komentarza z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność występuje tylko, gdy włączono combine_loaded_css.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykonać dowolny JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub innych ataków.

Rekomendacja

Zaktualizuj wtyczkę Asset CleanUp do wersji nowszej niż 1.4.0.5 lub ją wyłącz, jeśli aktualizacja nie jest możliwa.

Inne podatności w Asset CleanUp: Page Speed Booster

CVE-2026-66571Wysokie
Wtyczka WordPress Asset CleanUp: Page Speed Booster w wersjach do 1.4.0.5 zawiera podatność Cross Site Request Forgery (CSRF) możliwą do wykorzystania bez uwierzytelnienia. Nieuwierzytelniony atakujący może nakłonić ofiarę do wykonania niechcianych akcji.

Oryginalny opis (angielski, źródło NVD)

The Asset CleanUp: Page Speed Booster plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content in all versions up to, and including, 1.4.0.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is only exploitable on instances where combine_loaded_css has been enabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS