CVE-2026-57678
WysokieCVSS 7.1Streszczenie
Wtyczka Slider Revolution w wersjach od 7.0.0 do 7.0.16 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt do żądania HTTP, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przekierowania na złośliwe strony lub wykonania innych działań w kontekście sesji ofiary, co może prowadzić do naruszenia poufności danych i integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Slider Revolution do wersji nowszej niż 7.0.16, która zawiera poprawkę eliminującą podatność. Należy również rozważyć zastosowanie zapór aplikacyjnych (WAF) blokujących typowe wzorce ataków XSS.
Inne podatności w Slider Revolution
Zobacz wszystkie- CVE-2026-7542Średnie
Wtyczka Slider Revolution dla WordPress w wersjach 7.0 do 7.0.10 umożliwia ujawnienie wrażliwych informacji. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta mogą odczytać zawartość plików serwera (np. .sql, .log, .json) poprzez skopiowanie ich do publicznie dostępnego katalogu.
- CVE-2026-9050Średnie
Wtyczka Slider Revolution dla WordPressa w wersjach 6.0.0-6.7.55 i 7.0.0-7.0.14 jest podatna na nieautoryzowaną modyfikację danych. Brak weryfikacji uprawnień umożliwia uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym dezaktywację dowolnej aktywnej wtyczki na stronie.
- CVE-2026-9048Średnie
Wtyczka Slider Revolution dla WordPress w wersjach 7.0.0 – 7.0.14 ujawnia wrażliwe dane poprzez akcję AJAX 'slider.get.full'. Uwierzytelnieni atakujący z dostępem na poziomie Współautora lub wyższym mogą wyodrębnić surowe dane uwierzytelniające API mediów społecznościowych, takie jak token OAuth Instagrama, klucz API Flickra, klucz API YouTube i ID aplikacji Facebook.
- CVE-2026-6728Średnie
Wtyczka Slider Revolution dla WordPress do wersji 7.0.9 zawiera podatność ujawniania wrażliwych informacji poprzez funkcję 'get_stream_data()'. Niezautoryzowani atakujący mogą wyodrębnić dane, w tym treść chronionych hasłem postów, stron i produktów.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in ThemePunch Slider Revolution allows Reflected XSS. This issue affects Slider Revolution: from 7.0.0 through 7.0.16.