CVE-2026-15652

ŚrednieCVSS 6.4

Opublikowano: 16/07/2026(UTC)Zaktualizowano: 16/07/2026(UTC)Przetłumaczono: 17/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka Easy Accordion – AI-Powered FAQ & Accordion Blocks, Product FAQ dla WordPress jest podatna na trwałe ataki XSS poprzez atrybut bloku 'align' we wszystkich wersjach do 3.1.6 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Ocena ryzyka

Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.

Rekomendacja

Niezwłocznie zaktualizuj wtyczkę Easy Accordion do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub ogranicz dostęp do niej tylko dla zaufanych użytkowników.

Inne podatności w Easy Accordion

CVE-2026-18988Średnie
Wtyczka Easy Accordion dla WordPressa jest podatna na trwały atak XSS przez atrybut bloku 'accordionTitleTag' w wersjach do 3.1.8 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego escapowania w funkcji accordion_header_renderer(), która emituje tag dostarczony przez atakującego używając esc_attr() w kontekście nazwy tagu HTML zamiast tag_escape(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy ich odwiedzeniu.

Oryginalny opis (angielski, źródło NVD)

The Easy Accordion – AI-Powered FAQ & Accordion Blocks, Product FAQ plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'align' Block Attribute in all versions up to, and including, 3.1.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS