CVE-2026-76789
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Wtyczka Slider Hero with Video Background, Animation dla WordPressa przed wersją 9.1.3 nie posiada kontroli autoryzacji i nonce w dwóch swoich handlerach żądań oraz nie escapuje zapisanej opcji przed jej wyświetleniem, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie złośliwego JavaScriptu, który będzie wykonany w kontekście administratora przeglądającego panel administracyjny wtyczki, a także każdego odwiedzającego stronę z osadzonym sliderem.
Ocena ryzyka
Podatność może umożliwić nieuwierzytelnionemu atakującemu wykonanie złośliwego skryptu w kontekście administratora, co może prowadzić do przejęcia konta administratora i kompromitacji witryny.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 9.1.3 lub nowszej, która zawiera poprawkę.
Powiązane podatności
- CVE-2026-120240Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_41A748 pliku /bin/ioos, związanej z obsługą grupy WireGuard CLI. Manipulacja argumentami group_id/group_name może prowadzić do wstrzyknięcia poleceń systemowych (OS command injection). Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120239Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_419DA8 pliku /bin/ioos, w komponencie obsługi CLI WireGuard. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120238Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja 260403_2.0.0) wykryto podatność w funkcji sub_4162A8 pliku /bin/ioos, w komponencie obsługi plików ovpn_file. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można wykonać zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-62048Krytyczne
Wtyczka BookIt (Liquid Web / StellarWP) zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Problem dotyczy wersji do 2.6.0.6 włącznie.
- CVE-2026-120338Krytyczne
Sandbox Generative UI w prefab-ui uruchamia kod Python w Pyodide (WebAssembly) w podprocesie Deno, ale od wersji 0.14.0 do 0.20.2 proces Deno startuje z nieograniczonymi uprawnieniami --allow-read, --allow-write i --allow-net, a API Deno pozostaje dostępne w globalnym obiekcie JavaScript. Umożliwia to kodowi Python wywoływanie Deno.readTextFileSync i Deno.writeTextFileSync, czyli odczyt i zapis plików jako użytkownik systemu serwera oraz trwałe wykonanie kodu przez zapis pliku .pth w site-packages.
- CVE-2026-120231Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_416568 pliku /bin/ioos, obsługującej interfejs CLI OpenVPN. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120230Krytyczne
W urządzeniu WAVLINK WN701AE (wersja 260105) wykryto podatność w funkcji del_vlan_group komponentu ioos Web Backend. Manipulacja argumentem vlan_name prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-120229Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja 260403_2.0.0) wykryto podatność w funkcji sub_416B50 pliku /bin/ioos. Manipulacja argumentem file_id prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-120228Krytyczne
W urządzeniu WAVLINK WN553X1-B (wersja V260403_2.0.0) wykryto podatność w funkcji sub_416D88 pliku /bin/ioos (komponent ioos Service). Manipulacja argumentami group_id/group_name może prowadzić do wstrzyknięcia poleceń systemu operacyjnego. Atak można wykonać zdalnie, a exploit został opublikowany.
- CVE-2026-120308Krytyczne
W Beta9 dzierżawca może podpiąć wolumen podczas wdrażania funkcji, endpointu lub kolejki zadań. Gateway buduje ścieżkę hosta łącząc katalog główny wolumenów współdzielonych, nazwę workspace i identyfikator wolumenu ze stubu, bez weryfikacji, czy wolumen należy do danego workspace. Segmenty katalogu nadrzędnego w identyfikatorze pozwalają zredukować ścieżkę do katalogu głównego systemu plików workera, który jest montowany w sandboxie z prawem zapisu, umożliwiając odczyt i zapis plików workera, w tym wolumenów innych dzierżawców.
Oryginalny opis (angielski, źródło NVD)
The Slider Hero with Video Background, Animation WordPress plugin before 9.1.3 does not have authorisation and nonce checks on two of its request handlers, and does not escape a stored setting before outputting it, allowing unauthenticated users to store malicious JavaScript which will be executed in the context of an administrator viewing the Slider Hero with Video Background, Animation WordPress plugin before 9.1.3's admin area, as well as any visitor of a page embedding a slider.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS