CVE-2026-53741
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Simple Link Directory do wersji 9.0.4 interpoluje opcję sld_no_results_found do literału ciągu JavaScript bez kodowania. Ponieważ sanitize_text_field pozostawia cudzysłowy, przechowywany ładunek może wyrwać się z ciągu i uruchomić skrypt dla każdego odwiedzającego stronę.
Ocena ryzyka
Podatność umożliwia trwałe wykonanie skryptu w przeglądarkach wszystkich odwiedzających, co może prowadzić do kradzieży danych lub przejęcia kont.
Rekomendacja
Zaktualizuj Simple Link Directory do wersji, która poprawnie koduje dane wyjściowe.
Inne podatności w Simple Link Directory
Zobacz wszystkie- CVE-2026-57682Wysokie
Wtyczka Simple Link Directory w wersji 15.0.5 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-53742Średnie
Simple Link Directory do wersji 9.0.4 osadza atrybuty shortcode w atrybutach danych HTML bez odpowiedniego escapingu w szablonie osadzania. Atakujący z dostępem na poziomie współautora mogą wstrzyknąć atrybut shortcode zawierający procedurę obsługi zdarzeń wykonującą skrypt w przeglądarce odwiedzającego.
- CVE-2025-67576Średnie
Wtyczka QuantumCloud Simple Link Directory dla WordPressa ma podatność polegającą na braku autoryzacji (Missing Authorization), która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 8.8.3 włącznie.
- CVE-2025-67465Średnie
Podatność CSRF w wtyczce Simple Link Directory do WordPressa pozwala atakującemu na wykonanie nieautoryzowanych żądań w imieniu zalogowanego administratora. Dotyczy wersji do 8.8.3 włącznie.
Oryginalny opis (angielski, źródło NVD)
Simple Link Directory through 9.0.4 interpolates the sld_no_results_found option into a JavaScript string literal without encoding. Because sanitize_text_field leaves quotes intact, a stored payload breaks out of the string and runs script for every page visitor.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS