CVE-2026-57328
ŚrednieCVSS 6.5Streszczenie
Wtyczka Business Directory w wersji 6.4.22 i starszych zawiera podatność na atak XSS (Cross Site Scripting) z poziomu subskrybenta. Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript przez uwierzytelnionego użytkownika o roli subskrybenta.
Ocena ryzyka
Atakujący subskrybent może wykraść sesje innych użytkowników, przekierować ich na złośliwe strony lub zmienić zawartość panelu administracyjnego, co prowadzi do naruszenia poufności i integralności danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Business Directory do wersji 6.4.23 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Inne podatności w Business Directory
Zobacz wszystkie- CVE-2026-62097Wysokie
Wtyczka Business Directory (business-directory-plugin) w systemie WPTasty zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) spowodowaną niewłaściwą neutralizacją specjalnych elementów w poleceniu SQL. Problem dotyczy wersji od n/a do 6.4.27.
- CVE-2026-94173Średnie
Wtyczka Business Directory w wersji 6.4.27 i wcześniejszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) z poziomu kontrybutora. Umożliwia to nieautoryzowany dostęp do zasobów.
- CVE-2026-57339Średnie
Wtyczka Business Directory w wersji 6.4.23 i starszych zawiera lukę umożliwiającą nieuwierzytelnionym atakującym ominięcie kontroli dostępu. Podatność ta pozwala na nieautoryzowany dostęp do funkcji administracyjnych bez wymaganego uwierzytelnienia.
- CVE-2026-57326Średnie
Wtyczka Business Directory w wersji 6.4.22 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-84769Średnie
Wtyczka Business Directory w wersji 6.4.26 i wcześniejszych zawiera podatność na nieuwierzytelnione niebezpieczne bezpośrednie odwołania do obiektów (IDOR).
- CVE-2026-84758Średnie
Wtyczka Business Directory w wersjach do 6.4.26 zawiera podatność na złamanie kontroli dostępu bez uwierzytelnienia. Osoba atakująca może wykorzystać ten błąd do nieautoryzowanego dostępu do funkcji, które powinny być chronione.
- CVE-2026-28004Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Business Directory w wersjach do 6.4.25. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-61959Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Business Directory w wersjach do 6.4.24 pozwala użytkownikowi z rolą Subscriber na wstrzyknięcie złośliwego skryptu.
- CVE-2025-67596Średnie
Wtyczka Business Directory dla WordPressa (wersje do 6.4.19 włącznie) zawiera podatność na Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu wymuszenie wykonania niepożądanych działań przez administratora.
Oryginalny opis (angielski, źródło NVD)
Subscriber Cross Site Scripting (XSS) in Business Directory <= 6.4.22 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS