CVE-2026-78393
NieznaneStreszczenie
Wtyczka WordPress Link Library przed wersją 7.9.6 nie escapuje prawidłowo niektórych parametrów przed wyświetleniem ich w adresach generowanych linków na stronach katalogu front-end. Prowadzi to do odbitego cross-site scripting (Reflected XSS), który może być wykorzystany przeciwko dowolnemu odwiedzającemu, w tym zalogowanym administratorom.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, potencjalnie przejmując sesję administratora. Może to prowadzić do kradzieży danych uwierzytelniających lub wykonania nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę Link Library do wersji 7.9.6 lub nowszej. Rozważ wdrożenie nagłówków bezpieczeństwa, takich jak Content-Security-Policy, aby ograniczyć skutki XSS.
Inne podatności w Link Library WordPress plugin
Zobacz wszystkie- CVE-2026-78397Nieznane
Wtyczka WordPress Link Library przed wersją 7.9.6 nie waliduje miejsca docelowego adresu URL podanego przez użytkownika, zanim nastąpi powrót do niezabezpieczonego pobrania, gdy bezpieczne żądanie zostanie odrzucone. Umożliwia to nieuwierzytelnionym odwiedzającym zmuszenie witryny do wysyłania żądań do hostów w sieci wewnętrznej i ustalenie na podstawie odpowiedzi, czy wewnętrzna usługa odpowiedziała.
- CVE-2026-78394Nieznane
Wtyczka WordPress Link Library przed wersją 7.9.6 nie sanityzuje folderu docelowego podanego przez użytkownika przed zapisem wygenerowanego obrazu na dysku. Pozwala to użytkownikom z rolą Contributor i wyższą tworzyć katalogi oraz zapisywać lub nadpisywać pliki obrazów wszędzie tam, gdzie serwer WWW może pisać, w tym poza katalogiem głównym witryny.
Oryginalny opis (angielski, źródło NVD)
The Link Library WordPress plugin before 7.9.6 does not properly escape some parameters before outputting them in the addresses of links it generates on its front-end directory pages, leading to Reflected Cross-Site Scripting which could be used against any visitor, including logged-in administrators.