CVE-2026-16559
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka YMC Filter dla WordPressa przed wersją 3.12.9 nie sanityzuje plików SVG przesyłanych przez jedną z funkcji przesyłania ikon i zezwala na ich przesyłanie użytkownikom z niskimi uprawnieniami. Użytkownicy z rolą Autora i wyższą mogą przesłać plik zawierający JavaScript, który wykonuje się w kontekście strony po jego wyświetleniu.
Ocena ryzyka
Atakujący z rolą Autora może wykonać dowolny skrypt w przeglądarce administratora lub innych użytkowników, co może prowadzić do przejęcia sesji, kradzieży danych lub dalszej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę YMC Filter do wersji 3.12.9 lub nowszej, która zawiera poprawkę sanityzacji plików SVG. Dodatkowo ogranicz uprawnienia do przesyłania plików tylko do zaufanych użytkowników.
Inne podatności w YMC Filter
Zobacz wszystkie- CVE-2026-109983Średnie
Wtyczka YMC Filter dla WordPress jest podatna na Stored DOM-Based Cross-Site Scripting poprzez parametr 'post_title' we wszystkich wersjach do 3.12.19 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami autora mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zarażoną stronę.
- CVE-2026-16558Średnie
Wtyczka YMC Filter dla WordPressa przed wersją 3.12.8 nie sanityzuje i nie escapuje ustawienia kreatora układu przed wyświetleniem go w publicznym punkcie końcowym oraz nie weryfikuje własności obiektu podczas zapisywania ustawienia. Użytkownicy z rolą Współautor i wyższą mogą przechowywać JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego dotknięty filtr.
Oryginalny opis (angielski, źródło NVD)
The YMC Filter WordPress plugin before 3.12.9 does not sanitize SVG files uploaded through one of its icon upload features and permits their upload by low-privileged users, allowing users with the Author role and above to upload a file containing JavaScript that executes in the site's origin when the file is viewed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS