CVE-2026-7438
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Bold Timeline Lite dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybuty `supertitle` i `subtitle` shortcode'u `bold_timeline_item` we wszystkich wersjach do 1.2.8 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę Bold Timeline Lite do wersji nowszej niż 1.2.8, gdy tylko poprawka będzie dostępna, oraz rozważ ograniczenie uprawnień Contributorów do minimum.
Inne podatności w Bold Timeline Lite
Zobacz wszystkie- CVE-2025-68513Średnie
Wtyczka Bold Timeline Lite do wersji 1.2.7 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.
- CVE-2025-14032Średnie
Wtyczka Bold Timeline Lite dla WordPressa do wersji 1.2.7 jest podatna na Stored Cross-Site Scripting (XSS) przez parametr 'title' w shortcode 'bold_timeline_group' z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Bold Timeline Lite plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the `supertitle` and `subtitle` attributes of the `bold_timeline_item` shortcode in all versions up to, and including, 1.2.8 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS