CVE-2026-76573

ŚrednieCVSS 6.4

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka Pods – Custom Content Types and Fields dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut 'not_found' w shortcode w wszystkich wersjach do 3.3.9.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzykiwanie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych i rozprzestrzenianie złośliwego oprogramowania, co może prowadzić do naruszenia bezpieczeństwa całej witryny.

Rekomendacja

Zaktualizuj wtyczkę Pods do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo ogranicz uprawnienia contributorów i regularnie audytuj treści pod kątem złośliwych skryptów.

Inne podatności w Pods – Custom Content Types and Fields

CVE-2026-19598Krytyczne
Wtyczka Pods – Custom Content Types and Fields dla WordPressa do wersji 3.3.9 włącznie zawiera podatność na eskalację uprawnień przez obejście autoryzacji. Router AJAX pods_admin przekazuje wszystkie kontrole dostępu przez funkcję pods_error(), która w trybie zgodności meta-box-loader tylko zapisuje błędy do logu i zwraca false zamiast przerywać żądanie, przez co zabezpieczenia są nieskuteczne. Niezalogowany atakujący może eskalować uprawnienia do administratora lub zmienić hasło dowolnego konta, w tym właściciela strony, co umożliwia całkowite przejęcie witryny.

Oryginalny opis (angielski, źródło NVD)

The Pods – Custom Content Types and Fields plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'not_found' Shortcode Attribute in all versions up to, and including, 3.3.9.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS