CVE-2026-19902
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez nagłówek Referer. Brak odpowiedniej sanitizacji i escape'owania danych na dynamicznym tagu '{search-query}' umożliwia nieuwierzytelnionym atakującym wykonanie dowolnego JavaScript w kontekście strony dla każdego odwiedzającego, w tym zalogowanego administratora. Atak wymaga, aby strona miała blok reklamowy z tagiem '{search-query}' i automatyczną insercią.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce każdego odwiedzającego, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub manipulacji treścią strony. Atak może być przeprowadzony zdalnie bez uwierzytelnienia.
Rekomendacja
Zaktualizuj wtyczkę Ad Inserter do najnowszej wersji z poprawką. Dodatkowo rozważ usunięcie tagu '{search-query}' z bloków reklamowych, jeśli nie jest niezbędny.
Inne podatności w Ad Inserter
Zobacz wszystkie- CVE-2026-97077Wysokie
Nieuwierzytelniony atak XSS w wtyczce Ad Inserter w wersjach do 2.8.18 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-89097Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa do wersji 2.8.18 zawiera podatność na ujawnienie wrażliwych informacji przez ai_wp_footer_hook. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wyciągnięcie danych takich jak wewnętrzny adres IP serwera, konfiguracja PHP, wersje WordPressa i motywu, stałe zabezpieczeń, pełna macierz bloków wtyczki oraz wszystkie metadane postów, w tym chronione klucze z prefiksem podkreślenia, takie jak tokeny API i prywatny stan integracji innych wtyczek.
- CVE-2026-107864Średnie
Podatność typu Stored XSS w wtyczce Ad Inserter autorstwa Igora Funy. Brak neutralizacji danych wejściowych podczas generowania stron umożliwia trwałe wstrzyknięcie złośliwego skryptu.
- CVE-2026-89427Średnie
Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez parametr 's' w wyszukiwaniu. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie bloku Ad Inserter z placeholderem {title} lub {short-title} na stronach wyników wyszukiwania.
- CVE-2026-81655Wysokie
Wtyczka WordPress Ad Inserter w wersjach przed 2.8.19 nie ogranicza prawidłowo dostępu do jednej ze swoich stron ustawień, przez co jest ona osiągalna dla każdego zalogowanego użytkownika w konfiguracji dozwolonej przez jej własne ustawienia, oraz nie filtruje zapisywanej tam treści. Umożliwia to użytkownikom o roli tak niskiej jak subskrybent zapisanie kodu, który jest następnie wykonywany jako PHP lub wyświetlany odwiedzającym witrynę bez escapowania.
- CVE-2026-11984Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa (wszystkie wersje do 2.8.16 włącznie) jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień dla parametru URL 'ai-debug-code'. Nieuwierzytelniony atakujący może wyświetlić skonfigurowane przez administratora bloki kodu nagłówka i stopki, które zostały wyłączone z publicznego wyświetlania.
- CVE-2026-11983Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPress jest podatna na obejście autoryzacji we wszystkich wersjach do 2.8.16 włącznie, z powodu braku sprawdzenia uprawnień w funkcji `ai_ajax`. Umożliwia to nieuwierzytelnionym atakującym podglądanie treści bloków reklamowych, które administrator ograniczył do widoczności tylko dla administratorów.
- CVE-2026-57693Średnie
Wtyczka Ad Inserter dla WordPressa w wersji 2.8.11 i wcześniejszych zawiera podatność na ataki XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka umożliwia atakującemu wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Ad Inserter – Ad Manager & AdSense Ads plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the Referer header in all versions up to, and including, 2.8.18 due to insufficient input sanitization and output escaping on the '{search-query}' dynamic tag. When an ad block's code contains that tag, replace_ai_tags() reads $_SERVER['HTTP_REFERER'] and tests it with the regex /[\.\/](google|yahoo|bing|ask)\.[a-z\.]{2,5}[\/]/i. The leading [\.\/] class matches a literal slash, so any referrer merely containing a segment such as '/google.com/' passes as a search-engine referral; the plugin then percent-decodes the referring query with parse_str() and substitutes the resulting 'q' (or 'p') value into the block via preg_replace() with no escaping. This makes it possible for unauthenticated attackers to execute arbitrary JavaScript in the context of the site for any visitor, including a signed-in administrator, by luring them to an attacker-controlled page that frames or links to any ordinary post. Exploitation requires the site to have an ad block whose code uses the '{search-query}' tag with automatic insertion enabled — a documented plugin feature used as intended.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS