CVE-2026-77829
ŚrednieCVSS 6.4Streszczenie
Wtyczka Cooked – Recipe Management dla WordPressa (wersje do 1.16.1 włącznie) jest podatna na trwały Cross-Site Scripting poprzez zawartość shortcode [cooked-timer] z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce odwiedzającego, co może prowadzić do kradzieży sesji lub innych działań w kontekście użytkownika.
Rekomendacja
Zaktualizuj wtyczkę Cooked do wersji nowszej niż 1.16.1, a do czasu aktualizacji ogranicz uprawnienia Contributor i wyższe do zaufanych użytkowników.
Inne podatności w Cooked
Zobacz wszystkie- CVE-2026-73999Średnie
Podatność Insecure Direct Object References (IDOR) w wtyczce Cooked w wersjach do 1.16.0 włącznie, dotyczy kont o roli autora (Contributor). Umożliwia odwoływanie się do obiektów (np. postów, przepisów) bez autoryzacji, co może prowadzić do ujawnienia danych.
- CVE-2025-62989Średnie
Wtyczka Cooked do WordPressa zawiera podatność Stored XSS z powodu niewłaściwego neutralizowania danych wejściowych. Umożliwia to wstrzyknięcie złośliwego skryptu, który wykonuje się podczas wyświetlania stron. Podatność dotyczy wersji do 1.11.3 włącznie.
- CVE-2025-68586Średnie
Brak autoryzacji w Cooked (do wersji 1.11.3) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Cooked – Recipe Management plugin for WordPress is vulnerable to Stored Cross-Site Scripting via [cooked-timer] Shortcode Content in all versions up to, and including, 1.16.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS