CVE-2026-14379
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka GamiPress – Gamification plugin to reward points, achievements, badges & ranks dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'video_id' we wszystkich wersjach do 7.9.4 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
Ocena ryzyka
Nawet użytkownik z najniższymi uprawnieniami (subskrybent) może trwale zainfekować strony witryny złośliwym kodem JavaScript, co może prowadzić do kradzieży sesji, przekierowań lub przejęcia konta administratora. Ryzyko dotyczy każdej witryny WordPress z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę GamiPress do wersji nowszej niż 7.9.4, gdy tylko poprawka będzie dostępna, oraz rozważ ograniczenie możliwości rejestracji kont subskrybentów, jeśli nie są potrzebne.
Inne podatności w GamiPress – Gamification plugin to reward points, achievements, badges & ranks
Oryginalny opis (angielski, źródło NVD)
The GamiPress – Gamification plugin to reward points, achievements, badges & ranks in WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'video_id' parameter in all versions up to, and including, 7.9.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS