CVE-2026-16684

ŚrednieCVSS 6.4

Opublikowano: 01/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Easy Property Listings dla WordPressa do wersji 3.5.24 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez metodę kontaktu użytkownika 'facebook'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.

Ocena ryzyka

Atakujący mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdym dostępie do strony, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków na użytkowników.

Rekomendacja

Zaleca się aktualizację wtyczki Easy Property Listings do najnowszej wersji oraz ograniczenie możliwości edycji danych kontaktowych tylko do zaufanych użytkowników.

Inne podatności w Easy Property Listings

CVE-2025-64242Średnie
Wtyczka Easy Property Listings firmy Merv Barrett zawiera podatność polegającą na braku autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.5.22 włącznie.

Oryginalny opis (angielski, źródło NVD)

The Easy Property Listings plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'facebook' User Contact Method in all versions up to, and including, 3.5.24 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS