CVE-2026-59516

WysokieCVSS 7.1

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka ICS Calendar dla WordPressa do wersji 12.1.1 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane żądanie HTTP.

Ocena ryzyka

Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub wycieku wrażliwych danych. Atak wymaga interakcji użytkownika (np. kliknięcia w link).

Rekomendacja

Należy natychmiast zaktualizować wtyczkę ICS Calendar do wersji nowszej niż 12.1.1. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę do czasu wydania łatki.

Inne podatności w ICS Calendar

CVE-2026-9838Średnie
Wtyczka ICS Calendar dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'htmltagtitle' we wszystkich wersjach do 12.0.9 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego skryptu webowego.

Oryginalny opis (angielski, źródło NVD)

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Room 34 Creative Services, LLC ICS Calendar ics-calendar allows Reflected XSS.This issue affects ICS Calendar: from n/a through <= 12.1.1.