CVE-2026-42676
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka myCred jest podatna na przechowywany atak Cross-Site Scripting (XSS) we wszystkich wersjach do 3.0.4 włącznie. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony umożliwia atakującym wstrzyknięcie złośliwego skryptu, który jest następnie wykonywany w przeglądarkach innych użytkowników.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykonać inne nieautoryzowane działania w kontekście ich kont.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki myCred do najnowszej dostępnej wersji, która zawiera poprawkę dla tej podatności.
Inne podatności w myCred
Zobacz wszystkie- CVE-2026-15150Średnie
Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.
- CVE-2026-61968Średnie
Wtyczka myCred dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 3.1.2 włącznie.
- CVE-2026-40794Średnie
Wersje myCred do 3.0.3 mają lukę w kontroli dostępu, co pozwala na nieautoryzowany dostęp do zasobów subskrybenta.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in myCred allows Stored XSS. This issue affects myCred: from n/a through 3.0.4.