CVE-2026-53740

ŚrednieCVSS 5.4

Opublikowano: 10/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Yoast Duplicate Post do wersji 4.6 wstawia nieescapowany tytuł posta i permalink do powiadomienia o zaplanowanym ponownym opublikowaniu w edytorze klasycznym. Atakujący mogą zaplanować ponowną publikację kopii z spreparowanym tytułem, aby wykonać skrypt, gdy administrator wyświetli wynikowe powiadomienie.

Ocena ryzyka

Atak XSS na administratora może prowadzić do przejęcia konta administratora i pełnej kompromitacji witryny WordPress.

Rekomendacja

Zaktualizuj wtyczkę Yoast Duplicate Post do wersji 4.7 lub nowszej.

Inne podatności w Yoast Duplicate Post

CVE-2026-53739Średnie
We wtyczce Yoast Duplicate Post do wersji 4.6 wykryto podatność na fałszowanie żądań międzywitrynowych (CSRF) w handlerze duplicate_post_dismiss_notice. Brak weryfikacji nonce lub uprawnień umożliwia atakującemu nakłonienie uwierzytelnionego użytkownika do wysłania żądania, które ustawia opcję duplicate_post_show_notice, tłumiąc powiadomienia administracyjne w całej sieci.

Oryginalny opis (angielski, źródło NVD)

Yoast Duplicate Post through 4.6 inserts an unescaped post title and permalink into the Classic Editor scheduled republish notice. Attackers can schedule a republish copy with a crafted title to execute script when an administrator views the resulting notice.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS