CVE-2026-77820
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka WPComplete dla WordPressa (wersje do 2.9.9.0 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez atrybut shortcode 'empty' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem współtwórcy i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Wymaga to wersji premium oprogramowania. Uwaga: dotyczy to wyłącznie wersji pro.
Ocena ryzyka
Atakujący z uprawnieniami współtwórcy może wstrzyknąć trwały kod JavaScript, który wykona się u odwiedzających, co może prowadzić do kradzieży sesji lub modyfikacji treści. Dotyczy tylko wersji pro wtyczki.
Rekomendacja
Zaktualizuj wtyczkę WPComplete (wersja pro) do wersji nowszej niż 2.9.9.0. Do czasu aktualizacji rozważ ograniczenie możliwości publikowania treści przez współtwórców.
Inne podatności w WPComplete
Zobacz wszystkie- CVE-2026-66599Wysokie
Podatność na Cross Site Scripting (XSS) bez uwierzytelnienia w WPComplete w wersjach do 2.9.5.6. Umożliwia wstrzyknięcie złośliwego skryptu do strony.
- CVE-2025-49906Średnie
Wtyczka WPComplete ma brak autoryzacji, co pozwala na dostęp do funkcji, które powinny być ograniczone przez listy kontroli dostępu (ACL). Podatność dotyczy wersji do 2.9.5.3 włącznie.
Oryginalny opis (angielski, źródło NVD)
The WPComplete plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'empty' Shortcode Attribute in all versions up to, and including, 2.9.9.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the premium version of the software in order to exploit. Please note this only affects the pro version.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS