CVE-2026-16685
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Download Manager dla WordPressa do wersji 3.3.66 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez atrybut 'icon' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdym dostępie do strony, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków na użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki Download Manager do najnowszej wersji oraz unikanie używania shortcode'ów z atrybutami pochodzącymi od użytkowników.
Inne podatności w Download Manager
Zobacz wszystkie- CVE-2026-14292Średnie
Wtyczka Download Manager dla WordPressa przed wersją 3.3.66 nieprawidłowo koduje tytuł pakietu przed wyświetleniem go w szablonach pakietów. Użytkownicy z rolą Autora lub wyższą mogą przechowywać tytuł, który powoduje wykonanie dowolnego kodu JavaScript w przeglądarce każdego użytkownika, w tym nieuwierzytelnionych gości, którzy wyświetlą stronę z pakietem.
- CVE-2026-14343Średnie
Wtyczka Download Manager dla WordPressa do wersji 3.3.61 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty 'note_before' i 'note_after' w shortcode'ach. Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-13733Średnie
Wtyczka Download Manager dla WordPressa jest podatna na trwałe ataki XSS przez atrybut shortcode 'no_data_msg' we wszystkich wersjach do 3.3.60 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i ucieczki wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na wstrzyknięcie dowolnych skryptów.
- CVE-2026-5357Średnie
Wtyczka Download Manager dla WordPress do wersji 3.3.52 zawiera podatność na Stored XSS przez atrybut 'sid' shortcode'u 'wpdm_members'. Brak odpowiedniej sanityzacji i eskejpowania danych wejściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów.
- CVE-2026-39676Średnie
Wtyczka Download Manager dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.3.52 włącznie.
- CVE-2026-39615Średnie
Wtyczka Download Manager dla WordPressa zawiera podatność na Stored XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Download Manager plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'icon' Shortcode Attribute in all versions up to, and including, 3.3.66 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. wp_kses_post() does not neutralize the payload because it operates on post content at save time and does not process shortcode attribute values that are emitted unescaped at render time.