CVE-2026-16091
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka GamiPress dla WordPressa do wersji 7.9.9.1 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez shortcode 'gamipress_rank'. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdym dostępie do strony, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków na użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki GamiPress do najnowszej wersji oraz unikanie używania shortcode'ów z atrybutami pochodzącymi od użytkowników.
Inne podatności w GamiPress
Zobacz wszystkie- CVE-2026-59538Krytyczne
Wtyczka GamiPress dla WordPressa w wersji 7.9.7 i starszych zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL.
- CVE-2026-16090Średnie
Wtyczka GamiPress dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'heading_size' w 'gamipress_achievement'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2026-13450Średnie
Wtyczka GamiPress dla WordPressa do wersji 7.9.4 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'access'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym odczyt prywatnych wpisów dziennika aktywności GamiPress, w tym zdobytych odznak, zmian salda punktów i zdarzeń z zintegrowanych wtyczek.
- CVE-2026-48874Wysokie
Wersje GamiPress do 7.8.7 zawierają podatność na atak typu SQL Injection, który może być wykorzystany przez subskrybentów.
- CVE-2026-24546Średnie
Brak autoryzacji we wtyczce GamiPress umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Podatność dotyczy wersji od n/a do 7.6.3.
Oryginalny opis (angielski, źródło NVD)
The GamiPress – Gamification plugin to reward points, achievements, badges & ranks in WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'gamipress_rank' Shortcode in all versions up to, and including, 7.9.9.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.