CVE-2026-77263

WysokieCVSS 7.2

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka iubenda | All-in-one Compliance dla WordPressa do wersji 3.13.4 włącznie jest podatna na trwały atak XSS przez treść komentarzy z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie polega na osadzeniu dozwolonych znaczników KSES, takich jak atrybuty abbr title i komentarze HTML, w taki sposób, że globalna podmiana strtr() przekształca je w element wykonywalny, np. img z atrybutem onerror.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwych skryptów w kontekście przeglądarki każdego odwiedzającego, w tym administratorów, co może prowadzić do przejęcia sesji, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania. Atak nie wymaga uwierzytelnienia.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki iubenda do najnowszej wersji z poprawkami. Należy również rozważyć ograniczenie możliwości dodawania komentarzy lub wdrożenie dodatkowych zabezpieczeń, takich jak Web Application Firewall.

Inne podatności w iubenda | All-in-one Compliance

CVE-2026-77233Wysokie
Wtyczka iubenda | All-in-one Compliance dla WordPressa do wersji 3.13.4 włącznie jest podatna na trwały atak XSS przez treść komentarzy z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia, ale tylko gdy aktywny jest 'Secondary' silnik analizujący (parser_engine=default). Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność nie występuje w domyślnym nowym silniku opartym na DOM.

Oryginalny opis (angielski, źródło NVD)

The iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content in all versions up to, and including, 3.13.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit works by embedding KSES-allowed markup such as abbr title attributes and HTML comments in a submitted comment so that the global strtr() substitution strips substrings from an inert tag, mutating it into an executable element such as an img onerror handler that runs in the WordPress origin for any visitor, including logged-in administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS