CVE-2026-14877
ŚrednieCVSS 6.4Streszczenie
Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'id' we wszystkich wersjach do 1.12.03 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
Ocena ryzyka
Atakujący z kontem kontrybutora może trwale zainfekować strony witryny złośliwym kodem JavaScript, co może prowadzić do kradzieży sesji, przekierowań lub przejęcia konta administratora. Ryzyko dotyczy każdej witryny WordPress z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Data Tables Generator by Supsystic do wersji nowszej niż 1.12.03, gdy tylko poprawka będzie dostępna, oraz ogranicz liczbę kont z uprawnieniami kontrybutora do niezbędnego minimum.
Inne podatności w Data Tables Generator by Supsystic
Zobacz wszystkie- CVE-2026-96648Średnie
Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez wartość 'data' komórki tabeli w akcji updateRows we wszystkich wersjach do 1.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Wykorzystanie przez subskrybentów jest możliwe tylko wtedy, gdy administrator dodał ich rolę do ustawienia 'access_roles' wtyczki, co jest udokumentowaną i jawnie wspieraną funkcją.
- CVE-2025-12089Średnie
Wtyczka Data Tables Generator by Supsystic dla WordPressa do wersji 1.10.45 jest podatna na arbitralne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji cleanCache(). Umożliwia to uwierzytelnionym atakującym z dostępem administratora lub wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The Data Tables Generator by Supsystic plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the id attribute in all versions up to, and including, 1.12.03 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS