CVE-2026-39703
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WPBITS Addons For Elementor Page Builder dla WordPressa (wersje do 1.8.1 włącznie) zawiera podatność na Stored Cross-Site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.
Ocena ryzyka
Atakujący może kraść dane uwierzytelniające, modyfikować treść strony lub wykonywać inne nieautoryzowane działania, co zagraża integralności witryny.
Rekomendacja
Zaktualizuj wtyczkę WPBITS Addons For Elementor Page Builder do wersji 1.8.2 lub nowszej, jeśli dostępna; w przeciwnym razie usuń lub wyłącz wtyczkę.
Powiązane podatności
- CVE-2026-105889Krytyczne
Podatność typu Blind SQL Injection w wtyczce Tickera do systemu biletowego. Nieprawidłowa neutralizacja specjalnych elementów w zapytaniach SQL pozwala atakującemu na ślepe wstrzyknięcie kodu SQL. Dotyczy wersji do 3.6.0.6.
- CVE-2026-104398Krytyczne
Podatność polegająca na deserializacji niezaufanych danych w wtyczce AFFI – Affiliate Marketing for WooCommerce. Umożliwia to atakującemu wstrzyknięcie obiektów (Object Injection). Dotyczy wersji do 1.0.10.
- CVE-2026-108551Krytyczne
Podatność polegająca na wstrzyknięciu kodu w narzędziu openapi-typescript-codegen do wersji 0.31.0. Atakujący kontrolujący dokument OpenAPI może wstrzyknąć JavaScript poprzez niepoprawne wartości interpolowane w literałach łańcuchowych. Można to wykorzystać przez osadzenie pojedynczego cudzysłowu w kluczach ścieżek, nazwach parametrów, adresach serwerów lub wersji info.
- CVE-2026-93945Krytyczne
Podatność deserializacji niezaufanych danych w motywie Balance firmy Axiomthemes pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.12.0.
- CVE-2026-93944Krytyczne
Podatność deserializacji niezaufanych danych w motywie Camelia firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.15.
- CVE-2026-93943Krytyczne
Podatność deserializacji niezaufanych danych w motywie Convex firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93942Krytyczne
Podatność deserializacji niezaufanych danych w motywie Dwell firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.16.0.
- CVE-2026-93941Krytyczne
Podatność deserializacji niezaufanych danych w motywie Edema firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.2.2.
- CVE-2026-93940Krytyczne
Podatność deserializacji niezaufanych danych w motywie Greeny firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 2.10.0.
- CVE-2026-93938Krytyczne
Podatność deserializacji niezaufanych danych w motywie Hogwords firmy ThemeREX Group pozwala na wstrzyknięcie obiektów. Problem dotyczy wersji od n/a do 1.2.7.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in wpbits WPBITS Addons For Elementor Page Builder wpbits-addons-for-elementor allows Stored XSS.This issue affects WPBITS Addons For Elementor Page Builder: from n/a through <= 1.8.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS