CVE-2026-15295
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Infinite Scroll – Ajax Load More do wersji 7.0.1 włącznie zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administratora. Problem wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego kodowania wyjścia, co umożliwia uwierzytelnionym atakującym z uprawnieniami administratora wstrzyknięcie dowolnych skryptów.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach innych użytkowników odwiedzających zainfekowaną stronę, co może prowadzić do kradzieży sesji, defacementu lub dalszej eskalacji ataku. Podatność dotyczy tylko instalacji wielostanowiskowych oraz tych, gdzie wyłączono filtr unfiltered_html.
Rekomendacja
Należy niezwłocznie zaktualizować wtyczkę Ajax Load More do najnowszej dostępnej wersji. W przypadku instalacji wielostanowiskowych warto rozważyć ograniczenie uprawnień administratorów oraz włączenie filtru unfiltered_html, jeśli to możliwe.
Inne podatności w Ajax Load More
Zobacz wszystkie- CVE-2026-15360Krytyczne
Wtyczka Ajax Load More dla WordPressa przed wersją 8.0.1 nieprawidłowo sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku typu time-based blind SQL injection i wyodrębnienie wrażliwych danych z bazy.
- CVE-2025-59582Średnie
Wtyczka WordPress Ajax Load More (wersje do 7.6.0.2 włącznie) zawiera podatność polegającą na ujawnieniu wrażliwych informacji systemowych nieuprawnionemu podmiotowi. Może to pozwolić na odzyskanie osadzonych wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
The WordPress Infinite Scroll – Ajax Load More plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 7.0.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS