CVE-2026-15233

ŚrednieCVSS 4.8

Opublikowano: 04/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka Nested Pages dla WordPressa przed wersją 3.2.15 nieprawidłowo escapuje tytuły wpisów przed umieszczeniem ich w atrybutach HTML na ekranie listy administracyjnej. Umożliwia to użytkownikom z rolą Edytora (lub Współautora/Autora, gdy wtyczka jest włączona dla danego typu wpisu) wstrzyknięcie dowolnego JavaScriptu, który wykonuje się w sesji każdego użytkownika z wyższymi uprawnieniami przeglądającego ten ekran.

Ocena ryzyka

Ryzyko polega na przejęciu sesji administratora lub innych uprzywilejowanych użytkowników, co może prowadzić do pełnej kompromitacji witryny.

Rekomendacja

Zaleca się aktualizację wtyczki Nested Pages do wersji 3.2.15 lub nowszej oraz ograniczenie ról, które mogą edytować tytuły wpisów.

Inne podatności w Nested Pages

CVE-2026-100512Krytyczne
Podatność na wstrzyknięcie obiektów PHP (PHP Object Injection) w wtyczce Nested Pages w wersjach do 3.3.2. Umożliwia atakującemu wstrzyknięcie złośliwych obiektów PHP.

Oryginalny opis (angielski, źródło NVD)

The Nested Pages WordPress plugin before 3.2.15 does not properly escape post titles before outputting them into HTML attributes on an administrative listing screen, allowing users with the Editor role (or Contributor/Author when the Nested Pages WordPress plugin before 3.2.15 is enabled for the post type) to inject arbitrary JavaScript that executes in the session of any higher-privileged user who views that screen.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS