CVE-2026-17577
ŚrednieCVSS 6.1Streszczenie
Wtyczka SSL Zen dla WordPress jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametry 'uri' i 'host' w wersjach do 4.7.42 włącznie. Funkcja getMessages() dekoduje base64 z danych wejściowych i wyświetla surowy HTML bez escapowania.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się, gdy użytkownik kliknie specjalnie spreparowany link.
Rekomendacja
Zaktualizuj wtyczkę SSL Zen do wersji nowszej niż 4.7.42, która naprawia podatność Reflected XSS w parametrach 'uri' i 'host'.
Inne podatności w SSL Zen
Zobacz wszystkie- CVE-2026-17602Średnie
Wtyczka SSL Zen dla WordPress jest podatna na przejście przez katalogi (Directory Traversal) w wersjach do 4.7.42 włącznie poprzez parametr 'file_name'. Umożliwia to odczyt dowolnych plików na serwerze.
- CVE-2026-86781Średnie
Wtyczka SSL Zen — SSL Certificate Installer & HTTPS Redirects dla WordPressa w wersjach przed 4.7.40 nie wykonuje sprawdzeń uprawnień ani nonce w procedurze pobierania pliku certyfikatu uruchamianej wcześnie w cyklu życia żądania administracyjnego WordPressa. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, w tym Subscriberom, pobranie prywatnego klucza TLS witryny, certyfikatów i dzienników diagnostycznych.
- CVE-2026-28569Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w oprogramowaniu SSL Zen w wersjach do 4.7.43.
Oryginalny opis (angielski, źródło NVD)
The SSL Zen plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'uri' (and 'host') parameters in versions up to, and including, 4.7.42. The ssl_zen_messages::getMessages() function builds the 'token_missmatch' message using base64_decode(sanitize_text_field($_REQUEST['uri'])) and (optionally) base64_decode(sanitize_text_field($_REQUEST['host'])). sanitize_text_field() cannot strip HTML/JavaScript that is hidden inside a base64-encoded blob, and the resulting decoded raw HTML is echoed unescaped by showMessage() . This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a specially crafted link.