CVE-2026-15889

ŚrednieCVSS 6.4

Opublikowano: 10/09/2026(UTC)Zaktualizowano: 10/09/2026(UTC)Przetłumaczono: 10/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka Aruba HiSpeed Cache dla WordPress w wersjach do 3.0.14 włącznie jest podatna na trwałe cross-site scripting poprzez treść posta z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Atakujący z uprawnieniami Contributor może wykonać dowolny kod JavaScript w przeglądarce odwiedzających, co może prowadzić do kradzieży sesji lub przejęcia konta administratora.

Rekomendacja

Zaktualizować wtyczkę Aruba HiSpeed Cache do wersji nowszej niż 3.0.14.

Inne podatności w Aruba HiSpeed Cache

CVE-2025-67913Średnie
Brak autoryzacji we wtyczce Aruba HiSpeed Cache od Aruba.it Dev umożliwia dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy Aruba HiSpeed Cache w wersjach od n/a do < 3.0.3.

Oryginalny opis (angielski, źródło NVD)

The Aruba HiSpeed Cache plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Post Content in all versions up to, and including, 3.0.14 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS