CVE-2026-3513
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka TableOn dla WordPressa do wersji 1.0.4.4 zawiera podatność na trwały XSS przez atrybuty shortcode 'class', 'help_link', 'popup_title' i 'help_title'. Atrybuty te nie są odpowiednio oczyszczane ani kodowane przed wstawieniem do HTML-a, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym na wstrzyknięcie dowolnego skryptu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę TableOn do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczyć uprawnienia użytkowników do niezbędnego minimum.
Oryginalny opis (angielski, źródło NVD)
The TableOn – WordPress Posts Table Filterable plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'tableon_button' shortcode in all versions up to and including 1.0.4.4. This is due to insufficient input sanitization and output escaping on user-supplied shortcode attributes such as 'class', 'help_link', 'popup_title', and 'help_title'. The do_shortcode_button() function extracts these attributes without sanitization and passes them to TABLEON_HELPER::draw_html_item(), which concatenates attribute values into HTML using single quotes without escaping (line 29: $item .= " {$key}='{$value}'"). This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.