CVE-2026-19855

ŚrednieCVSS 6.5

Opublikowano: 09/09/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka CleanTalk dla WordPressa przed wersją 6.87 nie zapobiega przekazywaniu nieuwierzytelnionych treści komentarzy dostarczonych przez użytkownika do silnika shortcode WordPressa. Pozwala to każdemu odwiedzającemu na wykonanie dowolnych shortcode'ów zarejestrowanych na stronie po stronie serwera i wyświetlenie ich każdemu kolejnemu odwiedzającemu stronę.

Ocena ryzyka

Atakujący może wykonywać dowolne shortcode'y, co może prowadzić do przejęcia kontroli nad stroną, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania. Może to również naruszyć integralność treści i zaufanie użytkowników.

Rekomendacja

Zaleca się aktualizację wtyczki CleanTalk do wersji 6.87 lub nowszej. Należy również sprawdzić, czy inne wtyczki nie mają podobnych podatności na wstrzykiwanie shortcode'ów.

Inne podatności w CleanTalk

CVE-2026-65437Wysokie
Podatność XSS w wtyczce Spam protection, AntiSpam, FireWall by CleanTalk do wersji 6.82. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwy skrypt JavaScript.

Oryginalny opis (angielski, źródło NVD)

The CleanTalk WordPress plugin before 6.87 does not prevent unauthenticated, user-supplied comment content from being passed to WordPress's shortcode engine, allowing any visitor to have arbitrary shortcodes registered on the site executed server-side and rendered to every subsequent visitor of the page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS