CVE-2026-14827

ŚrednieCVSS 6.8

Opublikowano: 27/07/2026(UTC)Zaktualizowano: 27/07/2026(UTC)Przetłumaczono: 27/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka Calendar WordPress przed wersją 1.3.18 nieprawidłowo zabezpiecza pole zdarzenia podawane przez użytkownika przed wyświetleniem go w atrybucie HTML na stronie publicznej. Użytkownicy z rolą Współautor mogą wstrzyknąć dowolny kod JavaScript, który wykonuje się w przeglądarce każdego, kto wyświetli kalendarz.

Ocena ryzyka

Atakujący może wykonać dowolny skrypt w przeglądarkach odwiedzających stronę, co prowadzi do kradzieży sesji, przekierowań lub kradzieży danych.

Rekomendacja

Zaktualizuj wtyczkę Calendar do wersji 1.3.18 lub nowszej.

Inne podatności w Calendar WordPress plugin

CVE-2025-14548Średnie
Wtyczka Calendar dla WordPressa w wersjach do 1.3.16 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'event_desc'. Niedostateczna sanityzacja i ucieczka danych wejściowych pozwalają uwierzytelnionym użytkownikom z rolą Contributor lub wyższą wstrzykiwać dowolne skrypty do stron, pod warunkiem że administrator włączy możliwość zarządzania wydarzeniami kalendarza dla użytkowników o niższych uprawnieniach.

Oryginalny opis (angielski, źródło NVD)

The Calendar WordPress plugin before 1.3.18 does not properly escape a user-supplied event field before outputting it inside an HTML attribute on a public-facing page, allowing users with the Contributor role to inject arbitrary JavaScript that executes in the browser of anyone viewing the calendar.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS