CVE-2026-7796
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka EmbedPress – PDF Embedder, Embed PDF viewer, YouTube Videos, 3D FlipBook, Social feeds & more do WordPress do wersji 4.5.3 zawiera podatność na Stored Cross-Site Scripting przez atrybut 'url' bloku. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym odwiedzeniu strony.
Ocena ryzyka
Atakujący może umieścić złośliwy skrypt na stronie, który będzie wykonywany w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji, modyfikacji treści lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, w której usunięto tę podatność. Ogranicz uprawnienia do edycji treści tylko zaufanym użytkownikom.
Inne podatności w EmbedPress
Zobacz wszystkie- CVE-2026-61961Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EmbedPress w wersjach do 4.5.6 włącznie.
- CVE-2026-10526Średnie
Wtyczka EmbedPress dla WordPressa przed wersją 4.6.1 nie weryfikuje adresów URL dostarczanych przez użytkownika przed wykonaniem żądań po stronie serwera przez nieuwierzytelnione punkty końcowe. Umożliwia to nieuwierzytelnionym atakującym skłonienie witryny do wysyłania żądań HTTP do wewnętrznych hostów i usług, których walidacja URL rdzenia WordPressa nie obejmuje (niewidomy Server-Side Request Forgery).
- CVE-2026-48872Wysokie
W wersjach EmbedPress do 4.5.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
The EmbedPress – PDF Embedder, Embed PDF viewer, YouTube Videos, 3D FlipBook, Social feeds & more plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the block 'url' attribute in all versions up to, and including, 4.5.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page