CVE-2026-5934
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WP Rocket dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 3.21.0.1 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku odpowiedniego escapowania danych wyjściowych w danych dostarczanych przez użytkownika przez endpoint AJAX rocket_beacon. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy dostępie użytkownika.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty na stronach, co może prowadzić do kradzieży danych, przejęcia sesji lub innych szkodliwych działań.
Rekomendacja
Zaktualizuj wtyczkę WP Rocket do wersji nowszej niż 3.21.0.1, która zawiera poprawkę eliminującą podatność.
Inne podatności w WP Rocket
Zobacz wszystkie- CVE-2026-97075Średnie
Wtyczka WP Rocket dla WordPressa (wersje przed 3.23.5) zawiera podatność typu brak autoryzacji wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych mechanizmów bezpieczeństwa.
- CVE-2026-97076Wysokie
Wtyczka WP Rocket dla WordPressa (WP Media) zawiera podatność typu Executable Regular Expression Error, która umożliwia wstrzyknięcie kodu. Problem dotyczy wersji od nieznanej do 3.23.5.
Oryginalny opis (angielski, źródło NVD)
The WP Rocket plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 3.21.0.1. This is due to insufficient input sanitization and output escaping of user-supplied data via the rocket_beacon AJAX endpoint. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS