CVE-2026-66706

ŚrednieCVSS 5.9

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Podatność na Cross Site Scripting (XSS) wtyczki Subscribe to Comments (wersje do 2.3.1) występuje z poziomu autora. Oznacza to, że użytkownik z rolą autora może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.

Ocena ryzyka

Atakujący z rolą autora może wykraść dane sesji, przejąć konta użytkowników lub rozprzestrzeniać złośliwe treści. Ryzyko dotyczy wszystkich użytkowników odwiedzających strony z wtyczką.

Rekomendacja

Zaleca się aktualizację wtyczki Subscribe to Comments do najnowszej wersji, która zawiera poprawkę. Należy również ograniczyć uprawnienia autorów i regularnie audytować treści publikowane przez użytkowników.

Inne podatności w Subscribe to Comments

CVE-2026-91829Wysokie
Wtyczka Subscribe to Comments dla WordPressa przed wersją 2.3.3 nie waliduje poprawnie parametru przed odzwierciedleniem go w atrybucie linku, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie Reflected Cross-Site Scripting za pomocą spreparowanego URL, który po kliknięciu przez ofiarę (w tym administratora) wykonuje złośliwy skrypt.

Oryginalny opis (angielski, źródło NVD)

Author Cross Site Scripting (XSS) in Subscribe to Comments <= 2.3.1 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS