CVE-2026-18595
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WP-Lister Lite for eBay dla WordPressa w wersjach do 3.8.9 włącznie jest podatna na przechowywany Cross-Site Scripting poprzez parametr żądania AJAX Cron Handler z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, prowadząc do kradzieży sesji, danych logowania lub wykonania nieautoryzowanych akcji. Może to dotknąć zarówno administratorów, jak i odwiedzających witrynę.
Rekomendacja
Zaktualizuj wtyczkę WP-Lister Lite for eBay do wersji nowszej niż 3.8.9 lub ją wyłącz, jeśli aktualizacja nie jest dostępna. Rozważ wdrożenie nagłówka Content Security Policy (CSP) w celu ograniczenia skutków XSS.
Inne podatności w WP-Lister Lite for eBay
Zobacz wszystkie- CVE-2026-66628Wysokie
Wtyczka WP-Lister Lite for eBay w wersjach do 3.8.11 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z uprawnieniami shop managera. Pozwala to na wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.
- CVE-2026-11973Średnie
Wtyczka WP-Lister Lite for eBay dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' we wszystkich wersjach do 3.8.8 włącznie. Wynika to z niedostatecznego escapowania parametru i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z dostępem na poziomie shop managera lub wyższym mogą dodawać dodatkowe zapytania SQL, co pozwala na wyciągnięcie wrażliwych informacji z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The WP-Lister Lite for eBay plugin for WordPress is vulnerable to Stored Cross-Site Scripting via AJAX Cron Handler Request Parameter in all versions up to, and including, 3.8.9 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.