CVE-2026-13709
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Graphina – Charts and Graphs For Elementor dla WordPressa jest podatna na przechowywany atak XSS przez ustawienie szablonu 'iq_tree_tree_chart_template' we wszystkich wersjach do 3.1.11 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Przechowywany XSS może pozwolić atakującemu na wykonanie skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Graphina do wersji nowszej niż 3.1.11 oraz ograniczenie uprawnień użytkowników z dostępem do edycji treści.
Inne podatności w Graphina – Charts and Graphs For Elementor
Zobacz wszystkie- CVE-2026-39769Wysokie
Wtyczka Graphina – Charts and Graphs For Elementor firmy Iqonic Designs zawiera podatność na obejście uwierzytelniania z użyciem alternatywnej ścieżki lub kanału, umożliwiającą wykorzystanie mechanizmu odzyskiwania hasła. Podatność dotyczy wersji do 3.1.12 włącznie.
- CVE-2026-65529Średnie
Brak autoryzacji w wtyczce Graphina – Charts and Graphs For Elementor pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 3.1.12.
Oryginalny opis (angielski, źródło NVD)
The Graphina – Charts and Graphs For Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'iq_tree_tree_chart_template' Widget Setting in all versions up to, and including, 3.1.11 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS