CVE-2026-83545

ŚrednieCVSS 6.8

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress CoolClock przed wersją 4.3.8 nieprawidłowo escapuje niestandardowe ustawienie skórki przed wyświetleniem go w skrypcie inline. Umożliwia to użytkownikom z uprawnieniami współtwórcy i wyższymi wstrzyknięcie dowolnego kodu JavaScript, który wykona się przy przeglądaniu treści.

Ocena ryzyka

Złośliwy współtwórca może wstrzyknąć kod JavaScript wykonywany w przeglądarce odwiedzających, co może skutkować kradzieżą danych sesyjnych lub przejęciem konta. Ryzyko dotyczy wszystkich osób przeglądających zainfekowaną treść.

Rekomendacja

Zaktualizuj wtyczkę CoolClock do wersji 4.3.8 lub nowszej. Zweryfikuj istniejące treści pod kątem wstrzykniętego kodu JavaScript.

Inne podatności w CoolClock WordPress plugin

CVE-2026-83546Średnie
Wtyczka WordPress CoolClock przed wersją 4.3.8 nieprawidłowo escapuje ustawienie skórki przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z uprawnieniami współtwórcy i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonają się przy przeglądaniu treści.

Oryginalny opis (angielski, źródło NVD)

The CoolClock WordPress plugin before 4.3.8 does not properly escape a custom skin setting before outputting it inside an inline script, allowing users with contributor-level access and above to inject arbitrary JavaScript that executes when the content is viewed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS