CVE-2026-66617
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w wtyczce PublishPress Series w wersjach do 3.1.3 włącznie, dotycząca kont o roli autora (Contributor). Umożliwia wstrzyknięcie złośliwego skryptu JavaScript w treść publikacji, który wykona się w przeglądarce innych użytkowników.
Ocena ryzyka
Atak XSS może prowadzić do kradzieży danych, przejęcia sesji lub wykonania nieautoryzowanych działań w imieniu ofiary. Może to naruszyć bezpieczeństwo użytkowników i integralność witryny.
Rekomendacja
Należy zaktualizować wtyczkę PublishPress Series do wersji 3.1.4 lub nowszej. Zaleca się również stosowanie filtrów anty-XSS i ograniczenie uprawnień autorów.
Inne podatności w PublishPress Series
Zobacz wszystkie- CVE-2026-39444Średnie
PublishPress Series (wtyczka WordPress) do wersji 3.1.3 ma podatność na obejście autoryzacji przez kontrolowany przez użytkownika klucz, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-74005Średnie
Podatność Cross Site Request Forgery (CSRF) w wtyczce PublishPress Series w wersjach do 3.1.3 włącznie. Ataki CSRF mogą zostać przeprowadzone bez uwierzytelnienia, co umożliwia egzekwowanie niechcianych akcji w imieniu zalogowanego administratora.
- CVE-2026-66630Wysokie
Wtyczka PublishPress Series w wersjach do 3.1.3 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z uprawnieniami administratora. Umożliwia to wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.
- CVE-2026-27365Średnie
Podatność typu Stored XSS (Cross-site Scripting) w wtyczce PublishPress Series autorstwa PublishPress. Problem dotyczy wersji od n/a do 2.17.0.
Oryginalny opis (angielski, źródło NVD)
Contributor Cross Site Scripting (XSS) in PublishPress Series <= 3.1.3 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS