CVE-2026-15295

ŚrednieCVSS 4.4

Opublikowano: 10/07/2026(UTC)Zaktualizowano: 14/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Infinite Scroll – Ajax Load More do wersji 7.0.1 włącznie zawiera podatność na przechowywane ataki Cross-Site Scripting (XSS) poprzez ustawienia administratora. Problem wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego kodowania wyjścia, co umożliwia uwierzytelnionym atakującym z uprawnieniami administratora wstrzyknięcie dowolnych skryptów.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach innych użytkowników odwiedzających zainfekowaną stronę, co może prowadzić do kradzieży sesji, defacementu lub dalszej eskalacji ataku. Podatność dotyczy tylko instalacji wielostanowiskowych oraz tych, gdzie wyłączono filtr unfiltered_html.

Rekomendacja

Należy niezwłocznie zaktualizować wtyczkę Ajax Load More do najnowszej dostępnej wersji. W przypadku instalacji wielostanowiskowych warto rozważyć ograniczenie uprawnień administratorów oraz włączenie filtru unfiltered_html, jeśli to możliwe.

Inne podatności w Ajax Load More

CVE-2026-15360Krytyczne
Wtyczka Ajax Load More dla WordPressa przed wersją 8.0.1 nieprawidłowo sanityzuje i nie escapuje parametru przed użyciem go w zapytaniu SQL, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie ataku typu time-based blind SQL injection i wyodrębnienie wrażliwych danych z bazy.

Oryginalny opis (angielski, źródło NVD)

The WordPress Infinite Scroll – Ajax Load More plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 7.0.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.