CVE-2026-3297

ŚrednieCVSS 6.4

Opublikowano: 13/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Page Builder: Pagelayer dla WordPress do wersji 2.0.9 zawiera podatność na Stored XSS przez blok Anchor. Niewystarczająca sanitizacja wejścia i ucieczka wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.

Ocena ryzyka

Atakujący mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdej wizycie na zainfekowanej stronie, co może prowadzić do kradzieży danych lub przejęcia konta.

Rekomendacja

Zaktualizuj wtyczkę Pagelayer do wersji powyżej 2.0.9. Ogranicz uprawnienia użytkowników do niezbędnego minimum.

Inne podatności w Page Builder: Pagelayer

CVE-2026-2509Średnie
Wtyczka Page Builder: Pagelayer dla WordPressa do wersji 2.0.8 zawiera podatność na Stored XSS przez pole Custom Attributes w widżecie Button. Funkcja filtrująca XSS nie blokuje wszystkich handlerów zdarzeń, co pozwala atakującym z dostępem contributora lub wyższym na wstrzykiwanie skryptów.

Oryginalny opis (angielski, źródło NVD)

The Page Builder: Pagelayer – Drag and Drop website builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Anchor block in versions up to, and including, 2.0.9 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS