CVE-2026-16778
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Live Composer dla WordPressa w wersjach do 2.1.21 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez zawartość shortcode 'dslc_module_downloads_output' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.
Ocena ryzyka
Atakujący może wykonywać dowolne skrypty w przeglądarce użytkowników, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę Live Composer do wersji nowszej niż 2.1.21, gdy tylko będzie dostępna.
Inne podatności w Live Composer
Zobacz wszystkie- CVE-2026-16502Wysokie
Wtyczka Live Composer – Free WordPress Website Builder dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do 2.1.18 włącznie poprzez deserializację niezaufanych danych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie obiektu PHP. Brak znanego łańcucha POP w podatnym oprogramowaniu oznacza, że podatność nie ma wpływu, chyba że zainstalowana jest inna wtyczka lub motyw zawierający łańcuch POP. Jeśli łańcuch POP jest obecny, może pozwolić atakującemu na usunięcie plików, pobranie wrażliwych danych lub wykonanie kodu.
- CVE-2026-16788Średnie
Wtyczka Live Composer dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode dslc_module_projects_output we wszystkich wersjach do 2.1.19 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy dostępie użytkownika.
- CVE-2026-16786Średnie
Wtyczka Live Composer dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode dslc_module_testimonials_output we wszystkich wersjach do 2.1.19 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy dostępie użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Live Composer – Free WordPress Website Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'dslc_module_downloads_output' Shortcode Content in all versions up to, and including, 2.1.21 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The save-time wp_kses_post check is bypassed because the payload is stored as a serialized string containing no HTML tags for kses to tokenize, and the shortcode callback re-emits attacker-controlled values — including view_all_link (href attribute), main_heading_title (h2 body), button_text (anchor body), and button_inline_svg (anchor body) — without any escaping at render time.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS