CVE-2026-16786
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Live Composer dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode dslc_module_testimonials_output we wszystkich wersjach do 2.1.19 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy dostępie użytkownika.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki Live Composer do najnowszej dostępnej wersji, która zawiera poprawki zabezpieczeń.
Inne podatności w Live Composer
Zobacz wszystkie- CVE-2026-16502Wysokie
Wtyczka Live Composer – Free WordPress Website Builder dla WordPressa jest podatna na wstrzyknięcie obiektów PHP we wszystkich wersjach do 2.1.18 włącznie poprzez deserializację niezaufanych danych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie obiektu PHP. Brak znanego łańcucha POP w podatnym oprogramowaniu oznacza, że podatność nie ma wpływu, chyba że zainstalowana jest inna wtyczka lub motyw zawierający łańcuch POP. Jeśli łańcuch POP jest obecny, może pozwolić atakującemu na usunięcie plików, pobranie wrażliwych danych lub wykonanie kodu.
- CVE-2026-16788Średnie
Wtyczka Live Composer dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode dslc_module_projects_output we wszystkich wersjach do 2.1.19 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy dostępie użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Live Composer – Free WordPress Website Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via dslc_module_testimonials_output Shortcode in all versions up to, and including, 2.1.19 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected payload survives save-time wp_kses_post filtering because KSES treats shortcode delimiters as opaque, and the unescaped fields — including main_heading_title, view_all_link, main_heading_link_title, and main_filter_title_all — are only rendered when do_shortcode() executes at page-view time.