CVE-2026-6565
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Style Kits dla WordPress do wersji 2.5.0 zawiera podatność na Stored XSS poprzez parametr kit title w endpoint '/wp-json/agwp/v1/tokens/save'. Uwierzytelnieni atakujący z dostępem na poziomie Współautora lub wyższym mogą wstrzyknąć dowolny kod JavaScript, który wykona się przy każdej wizycie na zainfekowanej stronie.
Ocena ryzyka
Atakujący może kraść ciasteczka sesji, przekierowywać użytkowników do złośliwych witryn lub modyfikować treść strony.
Rekomendacja
Zaleca się aktualizację wtyczki Style Kits do najnowszej wersji oraz stosowanie odpowiedniego filtrowania danych wejściowych.
Inne podatności w Style Kits
Zobacz wszystkie- CVE-2026-65484Średnie
Wtyczka Style Kits w wersjach do 2.6.5 zawiera podatność na złamanie kontroli dostępu przez użytkownika z rolą Współautor. Osoba atakująca z takimi uprawnieniami może ominąć mechanizmy kontroli dostępu.
- CVE-2026-27364Średnie
Wtyczka Style Kits w wersjach do 2.6.5 ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów (Broken Access Control). Użytkownik o roli subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Style Kits – Advanced Theme Styles for Elementor, Elementor Kits & Elementor Patterns plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the '/wp-json/agwp/v1/tokens/save' endpoint kit title parameter in versions up to, and including, 2.5.0 due to insufficient input sanitization and output escaping in an admin attribute context. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.