CVE-2026-5506
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Wavr dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode `wave`. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdej wizycie na zainfekowanej stronie, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę Wavr do wersji 0.2.7 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Wavr plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's `wave` shortcode in all versions up to, and including, 0.2.6. This is due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.