CVE-2026-2390
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Powerkit dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) w module Lazy Load podczas przetwarzania obrazów we wszystkich wersjach do 3.0.4 włącznie. Wynika to z użycia wadliwego parsera atrybutów HTML opartego na wyrażeniach regularnych w funkcji 'content_process_images'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwego skryptu przez autora treści, co może prowadzić do kradzieży sesji, przejęcia kont administratora lub rozprzestrzeniania złośliwego oprogramowania wśród odwiedzających.
Rekomendacja
Zaleca się aktualizację wtyczki Powerkit do wersji nowszej niż 3.0.4, która zawiera poprawkę parsera HTML, oraz ograniczenie uprawnień Contributor dla zaufanych użytkowników.
Inne podatności w Powerkit
Zobacz wszystkie- CVE-2026-28178Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Powerkit w wersjach do 3.1.0 pozwala użytkownikowi z rolą Contributor na wstrzyknięcie złośliwego skryptu.
- CVE-2026-15649Średnie
Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybuty shortcode. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2026-15645Średnie
Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'nav'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2026-15644Średnie
Wtyczka Powerkit dla WordPress jest podatna na przechowywane ataki XSS przez atrybut shortcode 'style'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The Powerkit plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Lazy Load module's image processing in all versions up to, and including, 3.0.4. This is due to the 'content_process_images' function using a flawed regex-based HTML attribute parser. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS