CVE-2026-13701
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Advanced Excerpt dla WordPressa przed wersją 4.5 nie sanityzuje i nie escapuje jednego ze swoich ustawień przed wypisaniem go na froncie strony, co może pozwolić administratorom (w tym tym bez uprawnienia unfiltered_html, np. w multisite) na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w kontekście każdego odwiedzającego dotknięte strony.
Ocena ryzyka
Administratorzy mogą wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji, defacementu lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Advanced Excerpt do wersji 4.5 lub nowszej, która zawiera poprawki sanityzacji i escapowania.
Oryginalny opis (angielski, źródło NVD)
The Advanced Excerpt WordPress plugin before 4.5 does not sanitise and escape one of its settings before outputting it on the front end of the site, which could allow administrators (including those without the unfiltered_html capability, such as on multisite) to perform Stored Cross-Site Scripting attacks that execute in the context of any visitor viewing affected pages.