CVE-2026-83544
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Greenshift przed wersją 13.2.0 nie zabezpiecza odpowiednio atrybutu animacji bloku przed wypisaniem go w atrybucie HTML, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wstrzyknięcie dowolnych skryptów internetowych, które wykonują się podczas przeglądania treści.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwej treści.
Rekomendacja
Zaktualizuj wtyczkę Greenshift do wersji 13.2.0 lub nowszej, która zawiera poprawkę zabezpieczającą.
Inne podatności w Greenshift WordPress plugin
Zobacz wszystkie- CVE-2026-93880Średnie
Wtyczka Greenshift – animation and page builder blocks dla WordPressa (wersje do 13.2.0 włącznie) jest podatna na Reflected Cross-Site Scripting poprzez dynamiczny placeholder '{{GET:}}'. Z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik kliknie spreparowany link.
- CVE-2026-83543Średnie
Wtyczka WordPress Greenshift przed wersją 13.2.0 nie weryfikuje adresu URL podanego przez użytkownika przed pobraniem go po stronie serwera, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na zmuszenie serwera do wysyłania żądań do dowolnych hostów i odczytania odpowiedzi.
Oryginalny opis (angielski, źródło NVD)
The Greenshift WordPress plugin before 13.2.0 does not properly escape a block animation attribute before outputting it within an HTML attribute, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when the content is viewed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS