CVE-2026-16090
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka GamiPress dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'heading_size' w 'gamipress_achievement'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwych skryptów, co może prowadzić do kradzieży sesji, przekierowań lub defacementu strony.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GamiPress do najnowszej wersji oraz zastosowanie odpowiedniego filtrowania i eskejpowania danych wejściowych.
Inne podatności w GamiPress
Zobacz wszystkie- CVE-2026-59538Krytyczne
Wtyczka GamiPress dla WordPressa w wersji 7.9.7 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-16091Średnie
Wtyczka GamiPress dla WordPressa do wersji 7.9.9.1 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez shortcode 'gamipress_rank'. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-13450Średnie
Wtyczka GamiPress dla WordPressa do wersji 7.9.4 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'access'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym odczyt prywatnych wpisów dziennika aktywności GamiPress, w tym zdobytych odznak, zmian salda punktów i zdarzeń z zintegrowanych wtyczek.
- CVE-2026-48874Wysokie
Wersje GamiPress do 7.8.7 zawierają podatność na atak typu SQL Injection, który może być wykorzystany przez subskrybentów.
- CVE-2026-24546Średnie
Brak autoryzacji we wtyczce GamiPress umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Podatność dotyczy wersji od n/a do 7.6.3.
Oryginalny opis (angielski, źródło NVD)
The GamiPress – Gamification plugin to reward points, achievements, badges & ranks in WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'heading_size' Shortcode Attribute in 'gamipress_achievement' in all versions up to, and including, 7.9.9.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. WordPress save-time wp_kses_post does not neutralize this payload because the injected value is stored inside a shortcode attribute rather than as a raw HTML tag, and is only emitted into HTML at render time without escaping.