CVE-2026-15984
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka QuickCal dla WordPressa do wersji 1.0.20 włącznie jest podatna na trwały atak XSS poprzez parametry pól niestandardowych z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nonce chroniący akcję AJAX booked_add_appt jest publicznie osadzony na każdej stronie z kalendarzem rezerwacji, co ułatwia jego pozyskanie.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwych skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia kont administratora lub rozprzestrzeniania złośliwego oprogramowania. Atak może być przeprowadzony bez uwierzytelnienia, zwiększając powierzchnię ataku.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki QuickCal do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo należy ograniczyć użycie wtyczki do zaufanych stron i monitorować logi pod kątem nietypowych żądań AJAX.
Powiązane podatności
- CVE-2026-78403Krytyczne
Podatność przepełnienia bufora na stosie oraz brak autoryzacji w Thales Sentinel Keys Server na Windows. Serwer nie sprawdza długości pierwszego pola w żądaniu HTTP, co pozwala atakującemu na przesłanie spreparowanego żądania i potencjalne zdalne wykonanie kodu z uprawnieniami NT AUTHORITY\SYSTEM.
- CVE-2026-61850Krytyczne
W Kargo (wersje od 0.6.0 do 1.8.14, 1.9.9 i 1.10.8) występują dwie luki autoryzacji w API RBAC ograniczonym do projektu. Użytkownik z delegowanym uprawnieniem do zarządzania rolami lub kontami usług może przyznać uprawnienia wykraczające poza własne, co umożliwia eskalację do poziomu administratora projektu.
- CVE-2026-61620Krytyczne
HoneySQL konwertuje struktury danych Clojure na SQL. W wersjach od 2.0.0 do 2.7.1392 aplikacje przekazujące dane użytkownika do DSL przez keyword lub symbol mogą generować ciągi SQL podatne na wstrzyknięcie SQL, ponieważ niektóre formatery nie stosują sprawdzania podejrzanych znaków do nazw encji.
- CVE-2026-55598Krytyczne
PinePods przed wersją 0.9.0 pozwala uwierzytelnionemu użytkownikowi subskrybować kontrolowany przez atakującego kanał RSS, którego adres enclosure jest przechowywany bez walidacji hosta/IP. Serwer wykonuje żądania GET/HEAD do wewnętrznych usług, umożliwiając enumerację usług, ujawnienie danych i kradzież poświadczeń z metadanych chmury.
- CVE-2026-116241Krytyczne
pgAdmin 4 przed wersją 9.19 zawiera obejście poprawki CVE-2026-17566 w narzędziu Import/Export Data. Nieprawidłowa walidacja ukośnika w podwójnie cytowanym identyfikatorze pozwala ukryć nawias zamykający i wykonać klauzulę TO PROGRAM przez psql na hoście pgAdmin z uprawnieniami konta systemowego.
- CVE-2026-90888Krytyczne
Wtyczka WordPress LeadSnap w wersjach do 1.25 zawiera podatność na wstrzyknięcie obiektu PHP (PHP Object Injection), którą można wykorzystać bez uwierzytelnienia.
- CVE-2026-39738Krytyczne
Wtyczka WordPress FunnelKit Automations w wersjach do 3.8.6.1 zawiera podatność na wstrzyknięcie obiektu PHP (PHP Object Injection), którą można wykorzystać bez uwierzytelnienia.
- CVE-2026-39732Krytyczne
Wtyczka WordPress Transliterator w wersjach do 2.5.13 zawiera podatność na wstrzyknięcie SQL (SQL Injection), którą można wykorzystać bez uwierzytelnienia.
- CVE-2026-119526Krytyczne
Motyw WordPress ThemeREX Royal Event w wersjach do 2.0 zawiera podatność na deserializację niezaufanych danych, umożliwiającą wstrzyknięcie obiektu.
- CVE-2026-116852Krytyczne
Wtyczka WordPress Widget Options w wersjach do 4.2.5 zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE) przez użytkownika z uprawnieniami autora.
Oryginalny opis (angielski, źródło NVD)
The QuickCal plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Custom Field Parameters in all versions up to, and including, 1.0.20 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The nonce guarding the unauthenticated booked_add_appt AJAX action is publicly embedded on any page rendering the booking calendar shortcode, making it trivially obtainable by unauthenticated attackers without any prior account or privilege.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS