CVE-2026-15383

ŚrednieCVSS 6.1

Opublikowano: 03/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 03/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka Blog Floating Button do WordPressa do wersji 1.4.20 nie oczyszcza ani nie escapuje nagłówka User-Agent odwiedzającego, który przechowuje przez nieuwierzytelniony endpoint REST i później wyświetla bez escapowania na stronie raportu administratora. Pozwala to nieuwierzytelnionemu atakującemu na przechowanie złośliwego skryptu, który wykonuje się w sesji każdego administratora przeglądającego raport dostępu, prowadząc do przejęcia strony.

Ocena ryzyka

Atakujący może przejąć sesję administratora, co prowadzi do pełnej kontroli nad stroną, w tym do kradzieży danych i modyfikacji treści.

Rekomendacja

Zaktualizuj wtyczkę Blog Floating Button do wersji powyżej 1.4.20 lub zastosuj poprawkę, która oczyszcza i escapuje nagłówek User-Agent przed przechowaniem i wyświetleniem.

Inne podatności w Blog Floating Button

CVE-2026-28170Wysokie
Wtyczka Blog Floating Button w wersjach do 1.4.20 zawiera podatność na nieuwierzytelniony Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Oryginalny opis (angielski, źródło NVD)

The Blog Floating Button WordPress plugin through 1.4.20 does not sanitize or escape the visitor User-Agent header, which it stores through an unauthenticated tracking REST endpoint and later renders unescaped in an administrator report page. This allows an unauthenticated attacker to store a malicious script that executes in the session of any administrator who views the access report, leading to site takeover.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS