CVE-2026-13416
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka CMP dla WordPressa przed wersją 4.1.18 nie sanityzuje i nie escapuje wartości ustawień przed wyświetleniem jej na stronie coming-soon, co pozwala użytkownikom z rolą Edytora (gdy administrator przyznał Edytorowi dostęp do kontrolek paska administracyjnego wtyczki CMP) na wstrzyknięcie dowolnych skryptów webowych, które wykonują się, gdy odwiedzający zobaczy stronę.
Ocena ryzyka
Atakujący z rolą Edytora może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce odwiedzających stronę coming-soon, co może prowadzić do kradzieży sesji, phishingu lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki CMP do wersji 4.1.18 lub nowszej oraz ograniczenie dostępu do kontrolek administracyjnych tylko dla zaufanych użytkowników.
Inne podatności w CMP WordPress plugin
Zobacz wszystkie- CVE-2026-13415Wysokie
Wtyczka CMP dla WordPressa przed wersją 4.1.18 nie egzekwuje listy dozwolonych nazw opcji podczas importowania ustawień przez jedną z akcji AJAX, co pozwala użytkownikom z rolą Edytora (gdy administrator przyznał Edytorowi dostęp do kontrolek paska administracyjnego wtyczki CMP) na aktualizację dowolnych opcji WordPressa, w tym opcji prowadzących do eskalacji uprawnień do Administratora.
- CVE-2026-13414Średnie
Wtyczka CMP dla WordPressa przed wersją 4.1.18 nie przeprowadza kontroli autoryzacji na jednej z akcji AJAX i polega na nonce, które jest pomijane dla niektórych (i ujawniane anonimowym odwiedzającym na innych), co pozwala nieuwierzytelnionym atakującym na wyłączenie trybu konserwacji/coming-soon strony w nie-domyślnej konfiguracji odliczania.
Oryginalny opis (angielski, źródło NVD)
The CMP WordPress plugin before 4.1.18 does not sanitise and escape a settings value before outputting it on the coming-soon page, allowing users with the Editor role (when the administrator has granted the Editor role access to the CMP WordPress plugin before 4.1.18's admin-bar controls) to inject arbitrary web scripts that execute when a visitor views the page.