CVE-2026-5357
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Download Manager dla WordPress do wersji 3.3.52 zawiera podatność na Stored XSS przez atrybut 'sid' shortcode'u 'wpdm_members'. Brak odpowiedniej sanityzacji i eskejpowania danych wejściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów.
Ocena ryzyka
Atakujący mogą wstrzykiwać złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających stronę, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę Download Manager do najnowszej wersji, która zawiera poprawkę dla tej podatności.
Inne podatności w Download Manager
Zobacz wszystkie- CVE-2026-92714Średnie
Wtyczka Download Manager dla WordPressa jest podatna na Insecure Direct Object Reference w wersjach do 3.3.68 włącznie przez funkcję duplicate() podpiętą do admin_init. Powodem jest sprawdzanie tylko ogólnej zdolności 'edit_posts' i statycznego nonce, bez autoryzacji na poziomie obiektu. Uwierzytelnieni atakujący z dostępem na poziomie Author i wyższym mogą duplikować dowolne pakiety Download Manager, w tym te należące do administratorów, kopiując metadane pakietu, takie jak chronione pliki, ograniczenia ról i ustawienia haseł, do własnego klonu, który mogą edytować i uzyskać dostęp do chronionych plików.
- CVE-2026-16685Średnie
Wtyczka Download Manager dla WordPressa do wersji 3.3.66 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez atrybut 'icon' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-14292Średnie
Wtyczka Download Manager dla WordPressa przed wersją 3.3.66 nieprawidłowo koduje tytuł pakietu przed wyświetleniem go w szablonach pakietów. Użytkownicy z rolą Autora lub wyższą mogą przechowywać tytuł, który powoduje wykonanie dowolnego kodu JavaScript w przeglądarce każdego użytkownika, w tym nieuwierzytelnionych gości, którzy wyświetlą stronę z pakietem.
- CVE-2026-14343Średnie
Wtyczka Download Manager dla WordPressa do wersji 3.3.61 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty 'note_before' i 'note_after' w shortcode'ach. Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-13733Średnie
Wtyczka Download Manager dla WordPressa jest podatna na trwałe ataki XSS przez atrybut shortcode 'no_data_msg' we wszystkich wersjach do 3.3.60 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i ucieczki wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na wstrzyknięcie dowolnych skryptów.
- CVE-2026-39676Średnie
Wtyczka Download Manager dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.3.52 włącznie.
- CVE-2026-39615Średnie
Wtyczka Download Manager dla WordPressa zawiera podatność na Stored XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Download Manager plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'sid' parameter of the 'wpdm_members' shortcode in versions up to and including 3.3.52. This is due to insufficient input sanitization and output escaping on the user-supplied 'sid' shortcode attribute. The sid parameter is extracted without sanitization in the members() function and stored via update_post_meta(), then echoed directly into an HTML id attribute in the members.php template without applying esc_attr(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses the injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS