CVE-2026-5108
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Super Progressive Web Apps dla WordPressa do wersji 2.2.43 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez ustawienie `superpwa_settings[offline_message_txt]`. Wartość wiadomości offline jest przechowywana bez odpowiedniej sanityzacji, przekazywana na frontend przez `wp_localize_script()` bez escapowania i renderowana za pomocą `innerHTML` w komponencie snackbar. Umożliwia to uwierzytelnionym atakującym z dostępem Administratora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik wywoła snackbar offline.
Ocena ryzyka
Ryzyko dla organizacji obejmuje przejęcie sesji administratorów lub innych użytkowników, kradzież danych, a także modyfikację treści strony. Atak wymaga jednak konta administratora, co ogranicza scenariusze ataku do wewnętrznych zagrożeń lub przejętych kont.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Super Progressive Web Apps do najnowszej wersji, która zawiera poprawkę. Dodatkowo należy ograniczyć dostęp do kont administratorów i regularnie audytować uprawnienia użytkowników.
Powiązane podatności
- CVE-2026-124585Krytyczne
W urządzeniach VW2100 i VEC10GP firmy Chengdu Feiyuxing Technology wykryto podatność w interfejsie administracji webowej. Funkcja add_expmac w pliku var/html/webserver nieprawidłowo obsługuje argument mac, co prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-123870Krytyczne
Aplikacja webowa otterdog ocenia format-string zbudowany z treści webhooka GitHub przy użyciu funkcji eval() w Pythonie. Gdy konfiguracja GITHUB_WEBHOOK_SECRET jest nieustawiona lub pusta (domyślnie None), weryfikacja podpisu HMAC jest całkowicie pomijana. Umożliwia to nieuwierzytelnionemu klientowi sieciowemu dotarcie do eval() z danymi kontrolowanymi przez atakującego i wykonanie dowolnego kodu Pythona na hoście.
- CVE-2026-124580Krytyczne
W urządzeniu Chengdu Feiyuxing Technology VW2100 i VEC10GP (wersja 1.0 B-MB3W202-210825-r11775) wykryto podatność w funkcji handle_wechat_cn_wifi w pliku var/html/webserver, w komponencie Weixin Auth Endpoint. Manipulacja argumentem extend prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-124577Krytyczne
W urządzeniu Intelbras SG 2404 PoE L2+ w wersjach 1.00.70 i 1.00.72 wykryto słabość w nieznanej funkcji pliku /EXCU_SHELL w komponencie Web Management Interface. Manipulacja może prowadzić do nieprawidłowego uwierzytelniania. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-113364Krytyczne
Przepełnienie bufora w procesie odbierania danych w NEC WebSAM WinShare w wersjach 7.5.0 i wcześniejszych, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami SYSTEM poprzez spreparowany pakiet z nieprawidłową wartością rozmiaru danych w nagłówku protokołu.
- CVE-2026-113363Krytyczne
Nieprawidłowa walidacja danych wejściowych w przetwarzaniu komunikacji sieciowej w NEC WebSAM WinShare w wersjach 7.2.0–7.5.0, 7.6.0 oraz 7.7.0–7.7.2 na Windows pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnych poleceń z uprawnieniami SYSTEM poprzez spreparowany pakiet sieciowy wysłany do komputera z uruchomionym WinShare.
- CVE-2026-124560Krytyczne
W urządzeniu D-Link DIR-878 w wersji 1.20B05 wykryto podatność w funkcji GetCAPTCHAsetting w pliku bin/prog.cgi (komponent HNAP Handler). Manipulacja argumentem uid prowadzi do przepełnienia bufora na stercie. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-119506Krytyczne
Wtyczka Frontend Admin by DynamiApps (acf-frontend-form-element) do wersji 3.30.1 zawiera błąd nieprawidłowego przypisania uprawnień. Luka umożliwia atakującemu eskalację uprawnień w obrębie witryny WordPress.
- CVE-2026-6715Krytyczne
IBM Concert w wersjach 1.0 do 3.0.1.1 pozwala atakującemu dostarczyć spreparowane dane wejściowe, które trafiają do polecenia systemu operacyjnego bez odpowiedniej walidacji lub sanityzacji. Skuteczne wykorzystanie umożliwia zdalnym atakującym wykonanie dowolnych poleceń w systemie operacyjnym z uprawnieniami usługi.
- CVE-2026-17466Krytyczne
IBM Optim w wersjach 1.0.0, 1.1.0 i 1.2.0 jest podatny na atak path traversal, który umożliwia zdalnemu uwierzytelnionemu atakującemu uzyskanie dostępu do poufnych informacji.
Oryginalny opis (angielski, źródło NVD)
The Super Progressive Web Apps plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the `superpwa_settings[offline_message_txt]` setting in all versions up to, and including, 2.2.43. This is due to insufficient input sanitization and output escaping. The offline message value is stored without sanitization, passed to the frontend via `wp_localize_script()` without escaping, and rendered using `innerHTML` in the JavaScript snackbar component. This makes it possible for authenticated attackers, with Administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user triggers the offline snackbar.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS