CVE-2026-15249
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Patterns Kit do wersji 1.0.3 nie escapuje atrybutu linku przed wstawieniem go do strony przez skrypt po stronie klienta. Użytkownicy z rolą co najmniej Współautor mogą przechowywać ładunek, który wykonuje się w przeglądarce użytkownika po kliknięciu danego elementu.
Ocena ryzyka
Ryzyko ataków XSS (cross-site scripting), które mogą prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego kodu wśród odwiedzających.
Rekomendacja
Zaktualizuj wtyczkę Patterns Kit do wersji nowszej niż 1.0.3. Ogranicz role, które mogą publikować treści, i rozważ dodanie nagłówków bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
The Patterns Kit WordPress plugin through 1.0.3 does not escape a link attribute before its client-side script inserts it into the page, allowing users with a role as low as Contributor to store a payload that executes in the browser of a user who views the content and clicks the affected element.