CVE-2026-15645
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'nav'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwych skryptów, co może prowadzić do kradzieży danych lub przejęcia konta.
Rekomendacja
Zaleca się aktualizację wtyczki Powerkit do najnowszej wersji oraz zastosowanie odpowiedniego eskejpowania danych wyjściowych.
Inne podatności w Powerkit
Zobacz wszystkie- CVE-2026-2390Średnie
Wtyczka Powerkit dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) w module Lazy Load podczas przetwarzania obrazów we wszystkich wersjach do 3.0.4 włącznie. Wynika to z użycia wadliwego parsera atrybutów HTML opartego na wyrażeniach regularnych w funkcji 'content_process_images'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-28178Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Powerkit w wersjach do 3.1.0 pozwala użytkownikowi z rolą Contributor na wstrzyknięcie złośliwego skryptu.
- CVE-2026-15649Średnie
Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybuty shortcode. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2026-15644Średnie
Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'style'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The Powerkit – Supercharge your WordPress Site plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'nav' Shortcode Attribute in all versions up to, and including, 3.1.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS