CVE-2026-7421
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Passeum Ticketing dla WordPress do wersji 1.0 zawiera podatność na Stored XSS. Metoda get_shop_url() zwraca wartość shop_name bez sanityzacji, gdy zaczyna się od "http", a funkcja validate_shop_name() tylko sprawdza pustą wartość i typ. Uwierzytelnieni administratorzy mogą wstrzyknąć zewnętrzne skrypty, ustawiając shop_name na adres URL atakującego. Skrypty wykonują się na każdej stronie z shortcodem wtyczki.
Ocena ryzyka
Atakujący administrator może wstrzyknąć złośliwe skrypty, które wykonają się na wszystkich stronach frontendowych, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków na odwiedzających.
Rekomendacja
Należy zaktualizować wtyczkę Passeum Ticketing do najnowszej wersji oraz ograniczyć uprawnienia administratorów do niezbędnego minimum.
Powiązane podatności
- CVE-2026-93582Krytyczne
Moduły HTTP Basic Authentication w ((OTRS)) Community Edition 6 i wcześniejszych akceptują nazwę użytkownika z zmiennej środowiskowej REMOTE_USER lub HTTP_REMOTE_USER. W środowiskach CGI i mod_perl nagłówki żądań HTTP mogą być mapowane na zmienne środowiskowe HTTP_*, więc nieuwierzytelniony zdalny atakujący może dostarczyć spreparowany nagłówek Remote-User, który aplikacja odczyta jako HTTP_REMOTE_USER. Gdy HTTP Basic Authentication jest skonfigurowane jako backend uwierzytelniania, OTRS ufa tej wartości jako już uwierzytelnionej nazwie użytkownika i nie wykonuje dodatkowej weryfikacji hasła.
- CVE-2026-78357Krytyczne
W OTRS wcześniej wydane tokeny uwierzytelniające (JWT) nie są natychmiast unieważniane po dezaktywacji konta agenta lub klienta albo po zmianie hasła. Token może pozostać ważny aż do swojego zwykłego czasu wygaśnięcia, czyli około 16 godzin. Atakujący, który wcześniej zdobył ważny token, może nadal korzystać z OTRS z uprawnieniami danego konta.
- CVE-2026-108804Krytyczne
W routerach TRENDnet TEW-751DR, TEW-752DRU i TEW733GR w wersjach 1.03B01/1.03B03 wykryto podatność w funkcji fwrite w pliku pigwidgeon.cgi (komponent Web Management Backend). Manipulacja argumentem service prowadzi do wstrzyknięcia poleceń systemowych (OS command injection), a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny.
- CVE-2026-66086Krytyczne
W stosie OTA modemu występuje możliwy przepełnienie bufora na stosie z powodu nieprawidłowej walidacji informacji o planowaniu w komunikatach SIB1. Może to prowadzić do zdalnego wykonania kodu lub odmowy usługi bez potrzeby dodatkowych uprawnień.
- CVE-2026-108860Krytyczne
BotSharp do wersji 5.2.0 zawiera podatność obejścia uwierzytelniania, która pozwala nieuwierzytelnionym zdalnym atakującym na sfałszowanie tokenów bearer przy użyciu zakodowanego na stałe klucza Jwt:Key w pliku appsettings.json WebStarter. Atakujący mogą podpisywać tokeny przy użyciu zakomentowanego sekretu HMAC oraz stałych wartości issuer i audience, aby podszyć się pod dowolnego znanego użytkownika, w tym administratora, na trasach API chronionych atrybutem Authorize.
- CVE-2026-108753Krytyczne
Agnaistic agnai do wersji 1.0.555 zawiera podatność związaną z zakodowanymi na stałe poświadczeniami w pliku self-host.docker-compose.yml, który ustawia stałe hasło administratora i publiczny sekret JWT. Nieuwierzytelnieni atakujący mogą zalogować się jako administrator lub podpisać własny token JWT z polem admin: true, aby podszyć się pod użytkowników, resetować hasła i zmieniać konfigurację serwera.
- CVE-2026-108576Krytyczne
Podatność znaleziona w TOZED X300 do wersji 6.01.3 dotyczy funkcji process_ping komponentu IPPingDiagnostics Handler. Manipulacja argumentem Host prowadzi do wstrzyknięcia komend systemu operacyjnego. Atak może być przeprowadzony zdalnie. Sprzedawca został wcześniej poinformowany o tym ujawnieniu, ale nie odpowiedział w żaden sposób.
- CVE-2026-86717Krytyczne
Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom usuwać dowolne opcje WordPressa, co może spowodować wyłączenie witryny i pozbawienie wszystkich użytkowników ich ról.
- CVE-2026-86706Krytyczne
Wtyczka Quick quotes dla WordPressa do wersji 1.0.0 nie przeprowadza żadnej kontroli uprawnień ani nonce na jednej z akcji AJAX i pozwala wywołującemu wybrać, która opcja jest zapisywana, co umożliwia nieuwierzytelnionym użytkownikom zmianę dowolnych ustawień witryny i uczynienie jej niedostępną.
- CVE-2026-85121Krytyczne
Wtyczka Insurify dla WordPressa do wersji 1.0 nie posiada kontroli autoryzacji i nonce na jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom tworzyć i nadpisywać dowolne opcje WordPressa danymi z żądania, co może spowodować wyłączenie witryny i dezaktywację wszystkich wtyczek Insurify.
Oryginalny opis (angielski, źródło NVD)
The Passeum Ticketing plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 1.0. This is due to the `get_shop_url()` method returning the `shop_name` setting value without sanitization when it begins with "http", combined with insufficient validation in the `validate_shop_name()` function which only checks for empty values and string type. This makes it possible for authenticated attackers, with Administrator-level access and above, to inject arbitrary external scripts by setting the `shop_name` to an attacker-controlled URL (e.g., `https://attacker.com`), which causes the plugin to enqueue external JavaScript and CSS from the attacker-controlled domain via `wp_register_script()` and `wp_register_style()`. The injected scripts execute on every frontend page containing any Passeum Ticketing shortcode, affecting all site visitors. Please note that this does not affect single-site installations as administrators already have the `unfiltered_html` capability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS