CVE-2026-14234
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka WOLF dla WordPressa przed wersją 1.1.0 nie sprawdza nonce ani uprawnień w jednym ze swoich zapytań AJAX. Pozwala to nieuwierzytelnionemu atakującemu nakłonić zalogowanego administratora do zapisania dowolnej treści, w tym złośliwego skryptu, w poście poprzez żądanie cross-site, co prowadzi do trwałego Cross-Site Scripting (XSS).
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach odwiedzających witrynę, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Należy zaktualizować wtyczkę WOLF do wersji 1.1.0 lub nowszej.
Inne podatności w WordPress plugin
Zobacz wszystkie- CVE-2026-14300Wysokie
Wtyczka miniOrange Social Login and Register dla WordPressa przed wersją 7.8.0 nie wiąże jednorazowego kodu używanego w opcjonalnej weryfikacji e-mail z kontem, dla którego został wygenerowany. Pozwala to nieuwierzytelnionemu atakującemu uzyskać ważną sesję dla dowolnego konta, w tym administratora, poprzez żądanie kodu na kontrolowany przez siebie adres e-mail i użycie go wobec adresu ofiary.
- CVE-2026-13690Wysokie
Wtyczka UsersWP dla WordPressa przed wersją 1.2.67 nie weryfikuje wybranego dostawcy uwierzytelniania w obsłudze logowania dwuskładnikowego. Pozwala to atakującemu, który zna dane logowania użytkownika, ominąć drugi czynnik uwierzytelniania i zalogować się jako ten użytkownik.
- CVE-2026-13605Średnie
Wtyczka PhotoSwipe dla WordPressa do wersji 4.1.1.1 używa atrybutu title w linkach dostarczonych przez autora jako podpis lightboxa, zapisywany w DOM strony bez odpowiedniego escapowania. Uwierzytelniony użytkownik z uprawnieniami Autora może przechowywać ładunek JavaScript, który wykona się w przeglądarce każdego odwiedzającego, który kliknie link, w tym administratora.
- CVE-2026-11351Średnie
Wtyczka ShinyStat Analytics dla WordPressa przed wersją 1.0.17 nie wykonuje żadnej kontroli autoryzacji na jednym ze swoich endpointów REST API. Pozwala to nieuwierzytelnionym użytkownikom na pobieranie informacji o nieopublikowanych produktach WooCommerce (np. szkicach, oczekujących lub prywatnych).
Oryginalny opis (angielski, źródło NVD)
The WOLF WordPress plugin before 1.1.0 does not perform a nonce or capability check on one of its AJAX actions, allowing an unauthenticated attacker to trick a logged-in administrator into writing arbitrary content, including a malicious script, into a post via a cross-site request, resulting in stored Cross-Site Scripting.