CVE-2026-7796

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.7 nie sanityzuje i nie escapuje jednego z ustawień widgetu Elementor przed wypisaniem go do atrybutu HTML, co może pozwolić użytkownikom z rolą Współautor lub wyższą na wstrzyknięcie dowolnych skryptów internetowych, które wykonują się podczas przeglądania dotkniętej treści.

Wtyczka EmbedPress dla WordPressa do wersji 4.6.6 włącznie jest podatna na trwały atak XSS przez atrybut bloku 'slidesShow'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, które wykonają się po otwarciu strony przez użytkownika.

Wtyczka EmbedPress przed wersją 4.6.7 nie escapuje jednego ze swoich atrybutów bloku przed wyświetleniem go wewnątrz atrybutu HTML. Może to umożliwić użytkownikom z rolą Contributor i wyższą przeprowadzanie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym wpis.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ma odpowiedniej autoryzacji na publicznej akcji ładowania recenzji, co pozwala nieuwierzytelnionym użytkownikom na zmuszanie witryny do wielokrotnych, płatnych żądań API do zewnętrznych usług przy użyciu skonfigurowanego klucza API oraz tworzenie nieograniczonej liczby wierszy w bazie danych kontrolowanych przez atakującego.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie wykonuje wystarczającej kontroli autoryzacji na jednej z tras API Google Reviews REST, co pozwala użytkownikom z rolą Współautora i wyższą na modyfikację ogólnowitrynowego sklepu, usuwanie wpisów skonfigurowanych przez administratora i wstrzykiwanie własnych, które są publicznie renderowane w całej witrynie.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.4 nie ogranicza prawidłowo dostępu do jednej z tras REST dotyczących opinii Google, umożliwiając każdemu zalogowanemu użytkownikowi z rolą współautora lub wyższą odczytanie adresu e-mail administratora witryny, który to adres WordPress domyślnie ukrywa przed tą rolą.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EmbedPress w wersjach do 4.5.6 włącznie.

Wtyczka EmbedPress dla WordPressa przed wersją 4.6.1 nie weryfikuje adresów URL dostarczanych przez użytkownika przed wykonaniem żądań po stronie serwera przez nieuwierzytelnione punkty końcowe. Umożliwia to nieuwierzytelnionym atakującym skłonienie witryny do wysyłania żądań HTTP do wewnętrznych hostów i usług, których walidacja URL rdzenia WordPressa nie obejmuje (niewidomy Server-Side Request Forgery).

W wersjach EmbedPress do 4.5.2 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.