CVE-2026-76931
ŚrednieCVSS 6.4Streszczenie
Wtyczka Zephyr Project Manager dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'message' we wszystkich wersjach do 3.3.205 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony, ale tylko gdy wyłączona jest opcja 'Directly link to project'.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania poprzez wykonanie skryptów w kontekście przeglądarki ofiary. Atak wymaga jednak spełnienia dodatkowego warunku konfiguracyjnego.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji, która zawiera poprawkę. Dodatkowo należy włączyć opcję 'Directly link to project' lub ograniczyć dostęp do stron, na których wyświetlane są dane projektu.
Inne podatności w Zephyr Project Manager
Oryginalny opis (angielski, źródło NVD)
The Zephyr Project Manager plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘message’ parameter in all versions up to, and including, 3.3.205 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The vulnerability can only be exploited when the 'Directly link to project' plugin setting is disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS