CVE-2026-14335
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Easy Digital Downloads dla WordPressa do wersji 3.6.9 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez parametry PayPal IPN. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży danych, przejęcia sesji lub innych szkodliwych działań.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo należy ograniczyć zaufanie do danych przychodzących z PayPal i stosować odpowiednie mechanizmy sanityzacji.
Inne podatności w Easy Digital Downloads
Zobacz wszystkie- CVE-2026-66476Średnie
Wtyczka Easy Digital Downloads do wersji 3.6.9 umożliwia administratorowi dowolne usuwanie plików.
- CVE-2026-59524Średnie
Wtyczka Easy Digital Downloads w wersji 3.6.7 i starszych zawiera podatność na złamanie uwierzytelniania bez wymaganego logowania. Atakujący może uzyskać nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-105190Średnie
Wtyczka WordPress Easy Digital Downloads przed wersją 3.7.1 nie sprawdza ustawienia rejestracji użytkowników w witrynie przed utworzeniem konta WordPress. Umożliwia to nieuwierzytelnionym użytkownikom utworzenie konta i uzyskanie zalogowanej sesji, nawet gdy rejestracja jest wyłączona. Utworzone konto otrzymuje domyślną rolę witryny.
- CVE-2026-105194Średnie
Wtyczka WordPress Easy Digital Downloads przed wersją 3.7.1 nie ogranicza danych zamówienia bloku do bieżącego użytkownika. Użytkownicy z poziomem subskrybenta mogą przeglądać produkty z ostatnich zamówień innych klientów i uzyskiwać podpisane linki do pobrania, które dają dostęp do płatnych plików cyfrowych bez zakupu.
- CVE-2026-42638Wysokie
Brak autoryzacji w Easy Digital Downloads (wtyczka WordPress) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.7.1 włącznie.
- CVE-2026-95522Wysokie
Wtyczka Easy Digital Downloads w wersjach do 3.7.0 włącznie zawiera podatność SQL Injection dostępną dla użytkowników z rolą Shop manager. Umożliwia to wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.
- CVE-2026-12476Wysokie
Wtyczka Easy Digital Downloads dla WordPress do wersji 3.6.9 umożliwia dowolne przesyłanie plików. Funkcja `edd_do_ajax_import_file_upload()` sprawdza tylko nagłówek Content-Type dostarczony przez klienta, a następnie zapisuje plik z oryginalnym rozszerzeniem do katalogu web-accessible. Uwierzytelnieni atakujący z dostępem Shop Managera mogą przesłać dowolny plik, co może umożliwić zdalne wykonanie kodu.
- CVE-2026-39503Wysokie
Wersje Easy Digital Downloads do 3.6.5 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp do zasobów.
- CVE-2025-11271Średnie
Wtyczka Easy Digital Downloads dla WordPressa w wersjach do 3.5.2 włącznie jest podatna na manipulację zamówieniami z powodu obejścia weryfikacji zamówienia. Gdy w treści żądania POST zostanie przesłany parametr verification_override=1, weryfikacja jest bezwarunkowo pomijana, co pozwala nieuwierzytelnionemu atakującemu przesłać sfałszowane powiadomienie IPN i uznać je za zweryfikowane. Wymagany jest prawidłowy identyfikator transakcji PayPal, co ogranicza manipulację do zamówień złożonych przez atakującego posiadającego konto klienta.
Oryginalny opis (angielski, źródło NVD)
The Easy Digital Downloads – eCommerce Payments and Subscriptions made easy plugin for WordPress is vulnerable to Stored Cross-Site Scripting via PayPal IPN Parameters in all versions up to, and including, 3.6.9 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS