CVE-2026-84930

ŚrednieCVSS 6.8

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka CatFolders Document Gallery & PDF Library dla WordPressa przed wersją 2.0.7 nie poprawnie waliduje atrybutu bloku przed użyciem go jako nazwy tagu HTML w swoim wyjściu galerii. Umożliwia to użytkownikom z rolą Autora i wyższą wstrzyknięcie dowolnych skryptów, które wykonują się w przeglądarce każdego, kto przegląda dotknięty post.

Ocena ryzyka

Ryzyko obejmuje przejęcie sesji administratora, kradzież danych, defacement oraz rozprzestrzenianie złośliwego oprogramowania wśród odwiedzających.

Rekomendacja

Zaktualizuj wtyczkę do wersji 2.0.7 lub nowszej. Ogranicz role użytkowników mogących publikować treści i stosuj zasadę najmniejszych uprawnień.

Inne podatności w CatFolders Document Gallery & PDF Library

CVE-2026-19717Wysokie
Wtyczka CatFolders Document Gallery & PDF Library dla WordPressa przed wersją 2.0.7 nie posiada kontroli autoryzacji w niektórych punktach końcowych REST API, co pozwala nieuwierzytelnionym użytkownikom na pobieranie tytułu, typu, rozmiaru i adresu URL plików multimedialnych przypisanych do dowolnych folderów, w tym folderów nieopublikowanych w żadnej galerii.

Oryginalny opis (angielski, źródło NVD)

The CatFolders Document Gallery & PDF Library WordPress plugin before 2.0.7 does not properly validate a block attribute before using it as an HTML tag name in its gallery output, allowing users with the Author role and above to inject arbitrary web scripts that execute in the browser of anyone who views the affected post.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS