CVE-2026-66667

WysokieCVSS 7.1

Opublikowano: 18/08/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 18/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Templately w wersjach do 3.7.1. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Ocena ryzyka

Możliwość kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaktualizuj Templately do wersji, która zawiera poprawkę.

Inne podatności w Templately

CVE-2026-18438Wysokie
Wtyczka Templately dla WordPressa (do wersji 3.7.1 włącznie) zawiera podatność na zdalne wykonanie kodu (RCE) w funkcji fetch_remote_file. Problem wynika z niezgodności walidacji nazwy pliku — typ pliku jest sprawdzany na podstawie nagłówka Content-Disposition, a rzeczywista ścieżka zapisu pochodzi z adresu URL, co pozwala na zapis pliku z rozszerzeniem .php. Atakujący z dostępem na poziomie contributora może ominąć bramkę unfiltered_upload i wykonać kod na serwerze.

Oryginalny opis (angielski, źródło NVD)

Unauthenticated Cross Site Scripting (XSS) in Templately <= 3.7.1 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS