CVE-2026-16775
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Smash Balloon Social Post Feed – Simple Social Feeds dla WordPressa do wersji 4.9.0 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'id' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Ryzyko przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Smash Balloon Social Post Feed do najnowszej wersji. Ogranicz uprawnienia contributorów i regularnie skanuj strony.
Oryginalny opis (angielski, źródło NVD)
The Smash Balloon Social Post Feed – Simple Social Feeds for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'id' Shortcode Attribute in all versions up to, and including, 4.9.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.