CVE-2026-8071
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w wtyczce Anti-Spam by CleanTalk dla WordPress przed wersją 6.79: brak odpowiedniej sanityzacji treści w niestandardowym shortcode używanym w funkcji kodowania e-maili. Nieuwierzytelnieni atakujący mogą wstrzykiwać skrypty do zatwierdzonych komentarzy.
Ocena ryzyka
Skrypty wykonają się, gdy użytkownik (w tym administrator) wyświetli post, co może prowadzić do kradzieży sesji lub defacementu.
Rekomendacja
Zaktualizuj wtyczkę Anti-Spam by CleanTalk do wersji 6.79 lub nowszej.
Inne podatności w Anti-Spam by CleanTalk
Zobacz wszystkie- CVE-2026-103424Średnie
Wtyczka Anti-Spam by CleanTalk dla WordPressa do wersji 6.88 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'comment' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna, gdy komentarz od adresu email atakującego zostanie zatwierdzony; na domyślnych instalacjach WordPress tylko pierwszy komentarz z danego adresu jest moderowany, a kolejne są automatycznie zatwierdzane.
- CVE-2026-10770Średnie
Wtyczka Anti-Spam by CleanTalk dla Drupala zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony. Problem dotyczy wersji od 0.0.0 do 9.7.1.
Oryginalny opis (angielski, źródło NVD)
The Anti-Spam by CleanTalk. Spam protection WordPress plugin before 6.79 does not properly sanitize content within a custom shortcode used in its email-encoding feature, allowing unauthenticated attackers to inject arbitrary web scripts into approved comments that will execute when any user (including administrators) views the post.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS