CVE-2026-7105
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Xpro Addons dla WordPressa jest podatna na nieautoryzowane tworzenie danych z powodu braku sprawdzenia uprawnień w funkcji `get_menu_content_editor()` we wszystkich wersjach do 1.5.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym tworzenie dowolnych opublikowanych postów typu `xpro_content` z kontrolowanymi tytułami.
Ocena ryzyka
Atakujący mogą wstrzykiwać treści, co może prowadzić do spamowania SEO, zanieczyszczenia bazy danych i utraty zaufania użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Xpro Addons do najnowszej wersji, jeśli dostępna. Ogranicz dostęp do funkcji edycyjnych i monitoruj nietypowe posty.
Inne podatności w Xpro Addons
Zobacz wszystkie- CVE-2025-15369Średnie
Brak kontroli uprawnień w funkcji get_content_editor wtyczki Xpro Addons dla WordPressa umożliwia nieuwierzytelnionym atakującym tworzenie opublikowanych szablonów Xpro.
- CVE-2025-13368Średnie
Podatność Stored Cross-Site Scripting (XSS) w WordPress Xpro Addons plugin do wersji 1.4.20. Poprzez ustawienie 'onClick Event' w widżecie Pricing, atakujący z dostępem na poziomie contributor lub wyższym mogą wstrzyknąć dowolny skrypt, który wykona się przy odwiedzeniu strony.
- CVE-2026-2949Średnie
Podatność na przechowywany XSS w pluginie Xpro Addons dla WordPress (wersje do 1.4.24). Brak odpowiedniego oczyszczania i kodowania w widżecie Icon Box umożliwia uwierzytelnionym atakującym (od poziomu contributor) wstrzyknięcie złośliwego JavaScript.
Oryginalny opis (angielski, źródło NVD)
The Xpro Addons plugin for WordPress is vulnerable to unauthorized creation of data due to a missing capability check on the `get_menu_content_editor()` function in all versions up to, and including, 1.5.1. This makes it possible for authenticated attackers, with Subscriber-level access and above, to create arbitrary published posts of the `xpro_content` custom post type with attacker-controlled titles. The created posts are publicly queryable on the front-end, enabling content injection, SEO spam, and database pollution.