CVE-2026-28170

WysokieCVSS 7.1

Opublikowano: 13/08/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 13/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka Blog Floating Button w wersjach do 1.4.20 zawiera podatność na nieuwierzytelniony Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaleca się aktualizację wtyczki do wersji nowszej niż 1.4.20, która zawiera poprawkę eliminującą podatność XSS.

Inne podatności w Blog Floating Button

CVE-2026-15383Średnie
Wtyczka Blog Floating Button do WordPressa do wersji 1.4.20 nie oczyszcza ani nie escapuje nagłówka User-Agent odwiedzającego, który przechowuje przez nieuwierzytelniony endpoint REST i później wyświetla bez escapowania na stronie raportu administratora. Pozwala to nieuwierzytelnionemu atakującemu na przechowanie złośliwego skryptu, który wykonuje się w sesji każdego administratora przeglądającego raport dostępu, prowadząc do przejęcia strony.

Oryginalny opis (angielski, źródło NVD)

Unauthenticated Cross Site Scripting (XSS) in Blog Floating Button <= 1.4.20 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS