CVE-2026-14845

ŚrednieCVSS 6.1

Opublikowano: 31/07/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka NewStatPress dla WordPressa przed wersją 1.4.5 nie oczyszcza i nie koduje danych pochodzących z nieuwierzytelnionych żądań odwiedzających przed ich przechowaniem i późniejszym wyświetleniem w jednym z widgetów. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting na użytkowników przeglądających ten widget.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach administratorów i odwiedzających, prowadząc do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych.

Rekomendacja

Zaktualizuj wtyczkę NewStatPress do wersji 1.4.5 lub nowszej.

Inne podatności w NewStatPress

CVE-2025-13747Średnie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.3 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez obejście wyrażenia regularnego w funkcji `nsp_shortcode` z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami Contributor i wyższymi wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Oryginalny opis (angielski, źródło NVD)

The NewStatPress WordPress plugin before 1.4.5 does not sanitise and escape data derived from unauthenticated visitor requests before storing it and later outputting it in one of its widgets, which could allow unauthenticated attackers to perform Stored Cross-Site Scripting attacks against users viewing the affected widget.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS