CVE-2026-4811
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka WPB Floating Menu & Categories for WordPress do wersji 1.0.8 zawiera podatność na Stored Cross-Site Scripting (XSS) w polu 'Icon CSS Class' kategorii. Uwierzytelnieni atakujący z dostępem na poziomie edytora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się podczas przeglądania strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Należy zaktualizować wtyczkę do wersji powyżej 1.0.8, która zawiera poprawki sanityzacji wejścia i kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The WPB Floating Menu & Categories for WordPress – Sticky Side Menu with Icons plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'Icon CSS Class' category field in all versions up to, and including, 1.0.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Editor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.