CVE-2026-4429
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka OSM – OpenStreetMap dla WordPressa do wersji 6.1.15 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez atrybuty 'marker_name' i 'file_color_list' shortcode'u [osm_map_v3]. Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy odwiedzeniu strony.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwego kodu JavaScript, który może kraść dane sesji, przekierowywać użytkowników lub modyfikować treść strony.
Rekomendacja
Zaleca się aktualizację wtyczki OSM – OpenStreetMap do najnowszej wersji oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Oryginalny opis (angielski, źródło NVD)
The OSM – OpenStreetMap plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'marker_name' and 'file_color_list' shortcode attribute of the [osm_map_v3] shortcode in all versions up to and including 6.1.15. This is due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.