CVE-2026-18202
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka JetEngine dla WordPressa przed wersją 3.8.14 dodaje SVG do ogólnej listy dozwolonych typów przesyłania bez sanityzacji zawartości plików, co pozwala użytkownikom z uprawnieniami do przesyłania plików, takim jak Autorzy, na przesyłanie plików zawierających złośliwy JavaScript, który wykonuje się w przeglądarce każdego użytkownika, który go otworzy (Stored Cross-Site Scripting). W multisite, to również nadpisuje ograniczenie typu przesyłania ustawione przez administratora sieci.
Ocena ryzyka
Złośliwy JavaScript może kraść dane użytkowników, przejmować sesje lub rozprzestrzeniać złośliwe oprogramowanie.
Rekomendacja
Zaktualizuj wtyczkę JetEngine do wersji 3.8.14 lub nowszej, która zawiera poprawki sanityzacji plików SVG.
Oryginalny opis (angielski, źródło NVD)
The JetEngine WordPress plugin before 3.8.14 adds SVG to the site-wide list of allowed upload types without sanitising the file contents, allowing users with the upload files capability, such as Authors, to upload a file containing malicious JavaScript that executes in the browser of any user who opens it (Stored Cross-Site Scripting). On multisite, this also overrides an upload-type restriction set by the network administrator.