CVE-2026-8351
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka RTMKit dla WordPressa do wersji 2.0.7 zawiera podatność na trwałe ataki XSS w widżecie Advanced Heading. Wynika to z braku odpowiedniego kodowania wyjścia parametru 'Background Text' w funkcji render(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym na wstrzyknięcie dowolnego skryptu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę RTMKit do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą przed tą podatnością.
Inne podatności w RTMKit
Zobacz wszystkie- CVE-2026-12907Niskie
Wtyczka RTMKit dla WordPressa przed wersją 2.0.9 nie przeprowadza prawidłowej kontroli uprawnień w jednej z akcji AJAX dotyczących kreatora szablonów. Użytkownicy z rolą Autora lub wyższą mogą tworzyć i aktywować szablon obejmujący całą witrynę, nadpisując nagłówek, stopkę lub inne globalne obszary widoczne dla wszystkich odwiedzających, co normalnie jest zarezerwowane dla administratorów.
- CVE-2026-12906Niskie
Wtyczka RTMKit dla WordPressa przed wersją 2.0.9 nie sprawdza uprawnień w jednej z akcji AJAX i bezpośrednio używa identyfikatora posta podanego w żądaniu, co pozwala użytkownikom z rolą co najmniej Współautora na odczyt tytułów prywatnych, szkiców, oczekujących, zaplanowanych i usuniętych postów innych użytkowników.
- CVE-2026-5137Średnie
Wtyczka RTMKit (rometheme-for-elementor) dla WordPressa do wersji 2.0.7 włącznie zawiera podatność na lokalne dołączanie plików (LFI). Problem wynika z niewystarczającej walidacji ścieżki w parametrze 'template' w punkcie końcowym AJAX render_templates, który jest używany bezpośrednio w instrukcji require/include bez sanityzacji. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym dołączanie i wykonywanie plików na serwerze kończących się na _templates.php, co pozwala na wykonanie dowolnego kodu PHP w tych plikach.
Oryginalny opis (angielski, źródło NVD)
The RTMKit plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Advanced Heading widget's 'Background Text' parameter in versions up to, and including, 2.0.7 This is due to insufficient output escaping on the 'background_text_heading' setting in the render() function, which concatenates the value directly into an HTML attribute without applying esc_attr(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.