CVE-2026-15010

ŚrednieCVSS 6.4

Opublikowano: 11/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka bbp Style Pack dla WordPressa w wersjach do 6.4.5 zawiera podatność na trwałe ataki XSS. Funkcja bsp_topic_fields_form_save() zapisuje dane z $_POST bez filtrowania, a bsp_topic_content_append_topic_fields() wyświetla je bez kodowania HTML. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie na zainfekowanej stronie.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach odwiedzających stronę, w tym niezalogowanych użytkowników. Może to prowadzić do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych wrażliwych.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę bbp Style Pack do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz funkcję Topic Form Additional Fields.

Inne podatności w bbp Style Pack

CVE-2026-101925Średnie
Wtyczka bbp style pack dla WordPressa do wersji 6.4.8 włącznie jest podatna na trwały XSS przez parametry 'display_name' i 'bbp_reply_content'. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Skuteczny atak wymaga umieszczenia odpowiedzi w bloku <pre>, aby uniknąć konwersji cudzysłowów.

Oryginalny opis (angielski, źródło NVD)

The bbp Style Pack plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 6.4.5 via the Topic Form Additional Fields feature. This is due to insufficient input sanitization in bsp_topic_fields_form_save() (which writes $_POST['bsp_topic_fields_label{n}'] directly to post meta via update_post_meta() with no filtering) and missing output escaping in bsp_topic_content_append_topic_fields() (which concatenates the stored meta value into an HTML <span> and echoes it via apply_filters/echo without esc_html()). This makes it possible for authenticated attackers, with Subscriber-level access and above (who have bbPress topic-creation privileges), to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page, including unauthenticated visitors.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS