CVE-2026-77233

WysokieCVSS 7.2

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka iubenda | All-in-one Compliance dla WordPressa do wersji 3.13.4 włącznie jest podatna na trwały atak XSS przez treść komentarzy z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia, ale tylko gdy aktywny jest 'Secondary' silnik analizujący (parser_engine=default). Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność nie występuje w domyślnym nowym silniku opartym na DOM.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwych skryptów w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub rozprzestrzeniania złośliwego oprogramowania. Atak nie wymaga uwierzytelnienia, ale tylko w określonej konfiguracji silnika.

Rekomendacja

Zaleca się aktualizację wtyczki iubenda do najnowszej wersji z poprawkami. Należy również upewnić się, że używany jest domyślny silnik analizujący (parser_engine=default), aby uniknąć podatności.

Inne podatności w iubenda | All-in-one Compliance

CVE-2026-77263Wysokie
Wtyczka iubenda | All-in-one Compliance dla WordPressa do wersji 3.13.4 włącznie jest podatna na trwały atak XSS przez treść komentarzy z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie polega na osadzeniu dozwolonych znaczników KSES, takich jak atrybuty abbr title i komentarze HTML, w taki sposób, że globalna podmiana strtr() przekształca je w element wykonywalny, np. img z atrybutem onerror.

Oryginalny opis (angielski, źródło NVD)

The iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via AdSense Regex Rewrite in all versions up to, and including, 3.13.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability only manifests when the 'Secondary' parser engine is active (parser_engine=default); it does not exist under the default 'new' DOM-based parser engine.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS