CVE-2026-6178

ŚrednieCVSS 6.4

Opublikowano: 26/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 26/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Motyw Betheme dla WordPressa jest podatny na Stored Cross-Site Scripting przez shortcode 'icon_box_2' we wszystkich wersjach do 28.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia dla atrybutów dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaktualizuj motyw Betheme do wersji nowszej niż 28.4. Dodatkowo ogranicz uprawnienia użytkowników i stosuj zasady bezpieczeństwa dla shortcode'ów.

Inne podatności w Betheme

CVE-2026-65548Krytyczne
Zdalne wykonanie kodu (RCE) z uprawnieniami kontrybutora w motywie Betheme w wersjach do 28.4.2.

Oryginalny opis (angielski, źródło NVD)

The Betheme theme for WordPress is vulnerable to Stored Cross-Site Scripting via the theme's 'icon_box_2' shortcode in all versions up to, and including, 28.4 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.