CVE-2026-76790

WysokieCVSS 7.1

Opublikowano: 19/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 19/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka Estatik Real Estate Plugin dla WordPressa przed wersją 4.3.5 nie dezynfekuje i nie escapuje kilku wartości zdekodowanych z parametru żądania przed odzwierciedleniem ich w nieuwierzytelnionej odpowiedzi AJAX, co prowadzi do Reflected Cross-Site Scripting.

Ocena ryzyka

Atakujący może wysłać ofierze specjalnie spreparowany link, który wykona złośliwy skrypt w jej przeglądarce, umożliwiając kradzież sesji lub danych.

Rekomendacja

Zaktualizuj wtyczkę do wersji 4.3.5 lub nowszej. Edukuj użytkowników o zagrożeniach związanych z klikaniem w podejrzane linki.

Inne podatności w Estatik Real Estate Plugin

CVE-2026-18044Niskie
Wtyczka Estatik Real Estate dla WordPressa przed wersją 4.3.4 nie weryfikuje listy odbiorców wiadomości wysyłanych przez formularz zapytania o nieruchomość, co pozwala nieuwierzytelnionym użytkownikom na wysyłanie e-maili do dowolnych odbiorców z dowolnym tematem, treścią i adresem Reply-To, gdy formularz jest skonfigurowany do wysyłki na niestandardowy adres.

Oryginalny opis (angielski, źródło NVD)

The Estatik Real Estate Plugin WordPress plugin before 4.3.5 does not sanitise and escape several values decoded from a request parameter before reflecting them back in an unauthenticated AJAX response, leading to Reflected Cross-Site Scripting.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS