CVE-2026-66615
WysokieCVSS 7.1Streszczenie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) we wtyczce Podlove Podcast Publisher w wersjach do 4.5.4. Osoba atakująca bez logowania może wstrzyknąć złośliwy skrypt do strony, który wykona się w przeglądarce ofiary.
Ocena ryzyka
Ryzyko kradzieży danych użytkowników, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania poprzez wstrzyknięty skrypt.
Rekomendacja
Zaktualizuj wtyczkę Podlove Podcast Publisher do najnowszej wersji, która zawiera poprawkę eliminującą podatność XSS.
Inne podatności w Podlove Podcast Publisher
Zobacz wszystkie- CVE-2026-13001Krytyczne
Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'podlove_handle_cache_files' we wszystkich wersjach do 4.5.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-16099Wysokie
Wtyczka Podlove Podcast Publisher dla WordPressa do wersji 4.5.3 włącznie zawiera podatność na dowolne usuwanie plików. Uwierzytelnieni atakujący z uprawnieniami Contributor mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-13729Średnie
Wtyczka Podlove Podcast Publisher dla WordPressa przed wersją 4.5.3 nie sprawdza nonce w niektórych akcjach administracyjnych tworzenia i usuwania. Atakujący mogą tworzyć fałszywe rekordy lub usuwać prawidłowe za pomocą sfałszowanego żądania (CSRF), gdy zalogowany administrator zostanie nakłoniony do odwiedzenia spreparowanej strony.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Podlove Podcast Publisher <= 4.5.4 versions.