CVE-2026-66599
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność na Cross Site Scripting (XSS) bez uwierzytelnienia w WPComplete w wersjach do 2.9.5.6. Umożliwia wstrzyknięcie złośliwego skryptu do strony.
Ocena ryzyka
Ryzyko kradzieży sesji użytkowników lub wykonania nieautoryzowanych działań w ich imieniu.
Rekomendacja
Zaktualizuj WPComplete do najnowszej wersji, która zawiera poprawkę.
Inne podatności w WPComplete
Zobacz wszystkie- CVE-2026-66479Wysokie
Podatność na Cross-Site Request Forgery (CSRF) w WPComplete od Liquid Web / StellarWP umożliwia przechowywany XSS. Problem dotyczy WPComplete w wersjach od n/a do 2.9.5.6.
- CVE-2026-77820Średnie
Wtyczka WPComplete dla WordPressa (wersje do 2.9.9.0 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez atrybut shortcode 'empty' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem współtwórcy i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Wymaga to wersji premium oprogramowania. Uwaga: dotyczy to wyłącznie wersji pro.
- CVE-2025-49906Średnie
Wtyczka WPComplete ma brak autoryzacji, co pozwala na dostęp do funkcji, które powinny być ograniczone przez listy kontroli dostępu (ACL). Podatność dotyczy wersji do 2.9.5.3 włącznie.
- CVE-2025-58974Średnie
Wtyczka WPComplete do WordPressa zawiera podatność typu Stored Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Podatność dotyczy wersji do 2.9.5.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in WPComplete <= 2.9.5.6 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS