CVE-2026-61974

Nieuwierzytelniony Cross-Site Request Forgery (CSRF) w wtyczce Mang Board WP w wersjach do 2.3.8.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Mang Board WP w wersjach do 2.4.1.

Wtyczka Mang Board WP dla WordPressa jest podatna na brak autoryzacji poprzez fałszowanie ciasteczek uwierzytelniających we wszystkich wersjach do 2.3.7 włącznie. Wynika to z błędnej generacji HMAC w funkcji mbw_get_hash_key(), która używa tożsamości bieżącego użytkownika zamiast parametru nazwy użytkownika z ciasteczka, gdy użytkownik WordPressa jest zalogowany, oraz z niewystarczającej walidacji w mbw_validate_auth_cookie(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej fałszowanie ciasteczek uwierzytelniających administratora i zmianę haseł administratorów, co prowadzi do całkowitego przejęcia witryny.

Wtyczka Mang Board WP dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'stag' we wszystkich wersjach do 2.3.4 włącznie. Podatność wynika z niewystarczającej sanitizacji wejścia i braku odpowiedniego kodowania wyjścia.

Wtyczka Mang Board WP dla WordPressa jest podatna na odbity atak XSS przez parametr 'mp' w wersjach do 2.3.1 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzyknąć skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.