CVE-2026-14293

WysokieCVSS 8.8

Opublikowano: 10/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka Autopay dla WordPressa przed wersją 5.0.1 nie przeprowadza żadnej kontroli uprawnień ani nonce przed zapisaniem opcji stylowania z publicznego żądania, a także nie escapuje tej wartości, gdy jest później wypisywana na stronie kasy, co pozwala nieuwierzytelnionym atakującym na przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego użytkownika, w tym administratorów, którzy ładują stronę kasy.

Ocena ryzyka

Ryzyko przejęcia sesji administratora, kradzieży danych płatniczych lub przejęcia strony.

Rekomendacja

Zaktualizuj wtyczkę Autopay do wersji 5.0.1 lub nowszej.

Inne podatności w Autopay

CVE-2026-73338Wysokie
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Autopay w wersjach do 5.0.0. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Oryginalny opis (angielski, źródło NVD)

The Autopay WordPress plugin before 5.0.1 does not perform any capability or nonce check before saving a styling option from a public request, and does not escape that value when it is later output on the checkout page, allowing unauthenticated attackers to store JavaScript that executes in the browser of any user, including administrators, who loads the checkout page.