CVE-2026-16787

ŚrednieCVSS 6.4

Opublikowano: 01/09/2026(UTC)Zaktualizowano: 02/09/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Live Composer – Free WordPress Website Builder jest podatna na przechowywany atak XSS przez shortcode 'dslc_custom_field' we wszystkich wersjach do 2.1.19 włącznie. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora na wstrzyknięcie dowolnych skryptów, które wykonają się przy odwiedzeniu zainfekowanej strony.

Ocena ryzyka

Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia użytkowników do niezbędnego minimum.

Inne podatności w Live Composer plugin

CVE-2026-13203Średnie
Wtyczka Live Composer – Free WordPress Website Builder jest podatna na przechowywany atak XSS przez atrybut 'custom_id' w shortcode'ach dslc_modules_section i dslc_modules_area w wersjach do 2.1.19 włącznie. Brak odpowiedniego escape'owania atrybutu powoduje wstrzyknięcie skryptów do atrybutu HTML id, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora na wykonanie dowolnych skryptów.

Oryginalny opis (angielski, źródło NVD)

The Live Composer – Free WordPress Website Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'dslc_custom_field' Shortcode in all versions up to, and including, 2.1.19 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS