CVE-2026-16617
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Simple File List dla WordPressa do wersji 6.3.11 nie odpowiednio sanityzuje i nie escapuje opisu pliku przed wyświetleniem go na publicznej liście plików, co pozwala nieuwierzytelnionym użytkownikom (gdy zarządzanie plikami od strony frontendu jest włączone) na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego listę.
Ocena ryzyka
Ataki Stored XSS mogą prowadzić do kradzieży sesji, przejęcia kont administratora lub rozprzestrzeniania złośliwego kodu wśród odwiedzających.
Rekomendacja
Zaktualizuj wtyczkę Simple File List do wersji 6.3.12 lub nowszej, jeśli dostępna, lub wyłącz zarządzanie plikami od strony frontendu.
Oryginalny opis (angielski, źródło NVD)
The Simple File List WordPress plugin through 6.3.11 does not properly sanitise and escape a file's description before outputting it on the public file list, allowing unauthenticated users (when front-end file management is enabled) to perform Stored Cross-Site Scripting attacks that execute in the browser of any visitor viewing the list.