CVE-2026-16069
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Brizy dla WordPressa przed wersją 2.8.19 nie dezynfekuje ani nie escapuje współrzędnych punktu ostrości obrazu wyróżnionego przesyłanych przez jedną z akcji AJAX przed ich zapisaniem i późniejszym wyświetleniem w atrybutach HTML w meta boxie obrazu wyróżnionego w edytorze postów. Użytkownicy z rolą Współautora lub wyższą mogą wstrzykiwać dowolne skrypty, które wykonują się w sesji użytkownika z wyższymi uprawnieniami, gdy ten otworzy post do przeglądu.
Ocena ryzyka
Użytkownik z rolą Współautora może wykonać złośliwe skrypty w sesji administratora lub redaktora, co może prowadzić do przejęcia konta lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.8.19 lub nowszej. Ogranicz uprawnienia użytkowników i stosuj odpowiednie escapowanie danych.
Inne podatności w Brizy
Zobacz wszystkie- CVE-2026-14195Niskie
Wtyczka Brizy dla WordPressa przed wersją 2.8.18 nieprawidłowo weryfikuje autoryzację w procedurze obsługi żądań przed zwróceniem treści posta. Użytkownicy z rolą Współautora lub wyższą mogą odczytać treść dowolnych postów, w tym prywatnych, oczekujących i szkiców innych użytkowników.
- CVE-2025-58594Średnie
Wtyczka Brizy zawiera lukę w autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.7.12 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Brizy WordPress plugin before 2.8.19 does not sanitize or escape featured-image focal-point coordinates submitted through one of its AJAX actions before storing them and later echoing them into HTML attributes in the post editor's Featured Image meta box, allowing users with the Contributor role or above to inject arbitrary web scripts that execute in the session of a higher-privileged user who opens the post for review.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS