CVE-2026-85418
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More dla WordPressa przed wersją 3.0.9 nie waliduje dostarczonej przez użytkownika nazwy tagu HTML w jednym z widgetów Beaver Builder przed wyświetleniem go w renderowanym kodzie, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na wstrzykiwanie dowolnych skryptów internetowych, które wykonują się, gdy dowolny odwiedzający zobaczy daną stronę.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce odwiedzających, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 3.0.9 lub nowszej, która naprawia ten problem.
Inne podatności w Orbit Fox WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress plugin before 3.0.9 does not validate a user-supplied HTML tag name in one of its Beaver Builder widgets before echoing it into the rendered markup, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when any visitor views the affected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS