CVE-2026-66698
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka SureDash w wersji 1.10.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji użytkowników, przejęcie kont, wyświetlanie fałszywych treści lub przekierowanie na złośliwe strony. Może to prowadzić do naruszenia poufności danych użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki SureDash do wersji nowszej niż 1.10.1. Należy również zastosować mechanizmy filtrowania i sanityzacji danych wejściowych.
Inne podatności w SureDash
Zobacz wszystkie- CVE-2026-57401Krytyczne
Wtyczka SureDash dla WordPressa zawiera podatność na path traversal, która pozwala atakującemu na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji do 1.8.0 włącznie.
- CVE-2026-102774Średnie
Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPress jest podatna na trwałe DOM-based Cross-Site Scripting poprzez atrybut 'alt' obrazu w treści postów społeczności we wszystkich wersjach do 1.12.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-18402Średnie
Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa do wersji 1.10.3 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'draweropenverposition'. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Payload jest przechowywany w JSON w komentarzu HTML, a brak esc_attr() pozwala na złamanie atrybutu.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in SureDash <= 1.10.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS