CVE-2026-3885
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka WP Shortcodes Plugin — Shortcodes Ultimate dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez shortcode 'su_box' we wszystkich wersjach do 7.4.9 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapowania wyjścia na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie współautora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji i upewnij się, że wszystkie atrybuty shortcode są odpowiednio sanityzowane i escapowane.
Inne podatności w Shortcodes Ultimate
Zobacz wszystkie- CVE-2026-0738Średnie
Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.4.8 włącznie zawiera podatność na Stored Cross-Site Scripting przez shortcode su_carousel, wynikającą z niedostatecznego oczyszczania danych wejściowych i wyjściowych w polu meta załącznika 'su_slide_link'.
- CVE-2026-0737Średnie
Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.4.7 zawiera podatność na Stored XSS w atrybucie 'src' shortcode'a su_lightbox. Brak odpowiedniej sanitizacji wejścia i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie skryptów.
Oryginalny opis (angielski, źródło NVD)
The WP Shortcodes Plugin — Shortcodes Ultimate plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'su_box' shortcode in all versions up to, and including, 7.4.9 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.