CVE-2026-3600
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Investi dla WordPress do wersji 1.0.26 zawiera podatność na przechowywany XSS przez atrybut 'maximum-num-years' shortcode'a 'investi-announcements-accordion'. Atrybut nie jest odpowiednio oczyszczany, co pozwala uwierzytelnionym atakującym z dostępem współautora na wstrzykiwanie dowolnych skryptów.
Ocena ryzyka
Atakujący może wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu strony, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Investi do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
The Investi plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'investi-announcements-accordion' shortcode's 'maximum-num-years' attribute in all versions up to, and including, 1.0.26. This is due to insufficient input sanitization and output escaping on user-supplied shortcode attributes. Specifically, the 'maximum-num-years' attribute value is read directly from shortcode attributes and interpolated into a double-quoted HTML attribute without any escaping (no esc_attr(), htmlspecialchars(), or similar). This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.