CVE-2026-73338
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Autopay w wersjach do 5.0.0. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Ocena ryzyka
Możliwość kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj Autopay do wersji, która zawiera poprawkę.
Inne podatności w Autopay
Zobacz wszystkie- CVE-2026-90923Średnie
Wtyczka Autopay w wersji przed 5.0.1 nie wymusza weryfikacji podpisu w jednym ze swoich callbacków płatności. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie i usunięcie przechowywanych parametrów płatności zamówień innych klientów.
- CVE-2026-14293Wysokie
Wtyczka Autopay dla WordPressa przed wersją 5.0.1 nie przeprowadza żadnej kontroli uprawnień ani nonce przed zapisaniem opcji stylowania z publicznego żądania, a także nie escapuje tej wartości, gdy jest później wypisywana na stronie kasy, co pozwala nieuwierzytelnionym atakującym na przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego użytkownika, w tym administratorów, którzy ładują stronę kasy.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Autopay <= 5.0.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS