CVE-2026-57391
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Loops & Logic dla WordPressa zawiera podatność na trwały atak XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 4.2.3 włącznie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który będzie wykonywany w przeglądarkach administratorów i użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Loops & Logic do wersji nowszej niż 4.2.3, jeśli taka jest dostępna, lub zastosować tymczasowe zabezpieczenia (np. filtr WAF) do czasu wydania łatki.
Inne podatności w Loops & Logic
Zobacz wszystkie- CVE-2026-95604Wysokie
W wtyczce Loops & Logic w wersjach <= 4.2.4 występuje nieuwierzytelniona luka typu Broken Access Control.
- CVE-2026-16960Wysokie
Wtyczka Loops & Logic przed wersją 4.3.0 nie ogranicza swojego publicznego działania dotyczącego danych szablonu do danych, które odwiedzający może zobaczyć. Pozwala to nieuwierzytelnionym użytkownikom czytać dowolne rekordy użytkowników (w tym adresy e-mail i role) oraz dowolne opcje witryny.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Tangible Loops & Logic tangible-loops-and-logic allows Stored XSS.This issue affects Loops & Logic: from n/a through <= 4.2.3.