CVE-2026-16535
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Link Library dla WordPressa przed wersją 7.9.4 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w odpowiedzi, co pozwala nieuwierzytelnionym atakującym przeprowadzać ataki Reflected Cross-Site Scripting na użytkowników, którzy zostaną nakłonieni do wykonania akcji.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście zalogowanego użytkownika.
Rekomendacja
Zaktualizuj wtyczkę Link Library do wersji 7.9.4 lub nowszej, która zawiera poprawkę sanityzacji i escapowania. Dodatkowo edukuj użytkowników o ryzyku klikania w podejrzane linki.
Oryginalny opis (angielski, źródło NVD)
The Link Library WordPress plugin before 7.9.4 does not sanitise and escape a parameter before reflecting it back in a response, allowing unauthenticated attackers to perform Reflected Cross-Site Scripting attacks against users who can be tricked into performing an action.