CVE-2026-15032

ŚrednieCVSS 6.1

Opublikowano: 07/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka Comments dla WordPressa przed wersją 7.6.60 nie odpowiednio escapuje adresu URL dostarczonego przez użytkownika przed wypisaniem go wewnątrz atrybutu HTML, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie payloadu Cross-Site Scripting, który wykonuje się w przeglądarce każdego użytkownika, w tym administratorów, którzy przeglądają dotkniętą treść.

Ocena ryzyka

Atakujący może wykraść dane administratora, przejąć sesję lub przeprowadzić inne złośliwe działania w kontekście przeglądarki ofiary, co może prowadzić do przejęcia witryny.

Rekomendacja

Zaktualizuj wtyczkę Comments do wersji 7.6.60 lub nowszej. Dodatkowo stosuj Content Security Policy (CSP) i filtruj dane wejściowe.

Inne podatności w Comments WordPress plugin

CVE-2026-19704Średnie
Wtyczka Comments WordPress przed wersją 7.6.66 nie waliduje wartości używanej do budowania zapytania do bazy danych. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie SQL i odczytanie komentarzy, do których nie mają uprawnień, w tym komentarzy oczekujących na moderację, oznaczonych jako spam lub usuniętych, oraz komentarzy na prywatnych i szkicowych postach. Wstrzyknięty tekst dociera do zapytania jako gramatyka, a nie jako dane, i nie pozwala na wyodrębnienie dowolnych danych, więc wpływ na poufność to ujawnienie treści komentarzy, a nie całej bazy danych.

Oryginalny opis (angielski, źródło NVD)

The Comments WordPress plugin before 7.6.60 does not properly escape a user-supplied URL before outputting it inside an HTML attribute, allowing unauthenticated users to store a Cross-Site Scripting payload that executes in the browser of any user, including administrators, who views the affected content.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS