CVE-2026-3639
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka PPWP – Password Protect Pages dla WordPressa jest podatna na przechowywany atak XSS (Cross-Site Scripting) poprzez atrybuty shortcode'u `ppwp` we wszystkich wersjach do 1.9.21 włącznie. Przyczyną jest niedostateczna sanityzacja wejścia i brak escapingu wyjścia dla atrybutów dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym odwiedzeniu zainfekowanej strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty na strony chronione hasłem, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania wśród odwiedzających.
Rekomendacja
Zaktualizuj wtyczkę PPWP do wersji nowszej niż 1.9.21, która zawiera poprawkę. Ogranicz liczbę użytkowników z uprawnieniami do publikowania treści.
Oryginalny opis (angielski, źródło NVD)
The PPWP – Password Protect Pages plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's `ppwp` shortcode attributes in all versions up to, and including, 1.9.21 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.