CVE-2026-57398
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Real Estate Manager Pro dla WordPressa zawiera podatność na odbity atak XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod JavaScript do żądania HTTP, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przekierowania do złośliwych stron lub wykonania nieautoryzowanych działań w kontekście sesji administratora. Atak może być wykorzystany do przejęcia kontroli nad stroną WordPress.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Real Estate Manager Pro do wersji wyższej niż 12.8.3. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę do czasu wydania łatki.
Inne podatności w Real Estate Manager Pro
Zobacz wszystkie- CVE-2026-57701Wysokie
Wtyczka Real Estate Manager Pro w wersji 12.8.5 i starszych zawiera podatność na atak XSS bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2026-15142Wysokie
Wtyczka Real Estate Manager Pro dla WordPressa do wersji 12.8.6 włącznie jest podatna na eskalację uprawnień. Funkcja allow_attachment_actions() nieprawidłowo obsługuje uprawnienia, traktując docelowe ID użytkownika jako ID załącznika podczas sprawdzania uprawnień. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym edycję konta administratora i eskalację uprawnień do Administratora, gdy docelowe ID użytkownika odpowiada ID istniejącego załącznika.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in WebCodingPlace Real Estate Manager Pro real-estate-manager-pro allows Reflected XSS.This issue affects Real Estate Manager Pro: from n/a through <= 12.8.3.