CVE-2026-61995
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka YouTube Showcase w wersjach do 4.1.0 zawiera podatność Cross Site Scripting (XSS) dostępną bez uwierzytelnienia.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć skrypt, co może prowadzić do kradzieży sesji lub działań w imieniu użytkownika.
Rekomendacja
Zaktualizuj wtyczkę YouTube Showcase do wersji nowszej niż 4.1.0 i wdróż nagłówki bezpieczeństwa (CSP).
Inne podatności w YouTube Showcase
Zobacz wszystkie- CVE-2026-15790Średnie
Wtyczka Youtube Showcase dla WordPressa do wersji 4.0.4 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode 'emd_mb_meta'. Tytuły załączników są interpolowane do atrybutów HTML bez odpowiedniego escapowania, co pozwala uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym na wstrzyknięcie dowolnych skryptów.
- CVE-2026-12923Wysokie
Wtyczka Youtube Showcase dla WordPressa do wersji 4.0.3 włącznie zawiera podatność na dowolne wywołanie funkcji PHP. Problem wynika z niewystarczającej walidacji parametru 'path' w handlerze AJAX emd_delete_file(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym na wywoływanie funkcji PHP bez argumentów, takich jak phpinfo czy phpversion.
- CVE-2025-15636Średnie
Wtyczka YouTube Showcase dla WordPress jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach od nieznanej do 3.5.1 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in YouTube Showcase <= 4.1.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS