CVE-2026-83546

ŚrednieCVSS 6.8

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress CoolClock przed wersją 4.3.8 nieprawidłowo escapuje ustawienie skórki przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z uprawnieniami współtwórcy i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonają się przy przeglądaniu treści.

Ocena ryzyka

Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwy skrypt wykonywany w przeglądarce odwiedzających, co może prowadzić do kradzieży sesji lub danych. Wpływa to na wszystkich użytkowników przeglądających zainfekowaną treść.

Rekomendacja

Zaktualizuj wtyczkę CoolClock do wersji 4.3.8 lub nowszej. Sprawdź istniejące treści pod kątem wstrzykniętych skryptów.

Inne podatności w CoolClock WordPress plugin

CVE-2026-83545Średnie
Wtyczka WordPress CoolClock przed wersją 4.3.8 nieprawidłowo escapuje niestandardowe ustawienie skórki przed wyświetleniem go w skrypcie inline. Umożliwia to użytkownikom z uprawnieniami współtwórcy i wyższymi wstrzyknięcie dowolnego kodu JavaScript, który wykona się przy przeglądaniu treści.

Oryginalny opis (angielski, źródło NVD)

The CoolClock WordPress plugin before 4.3.8 does not properly escape a skin setting before outputting it within an HTML attribute, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when the content is viewed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS