CVE-2026-85677

WysokieCVSS 8.8

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Gutenverse News przed wersją 3.3.3 nie ogranicza dodatkowego HTML, który dodaje do dozwolonych elementów WordPressa, do kontekstu, dla którego jest przeznaczony, stosując tę samą rozszerzoną listę do każdego kontekstu sanityzacji, w tym niezaufanych komentarzy, co pozwala nieuwierzytelnionym użytkownikom na zapisanie JavaScriptu, który zostanie wykonany w przeglądarce każdego administratora przeglądającego kolejkę komentarzy oraz każdego odwiedzającego post, gdy komentarz zostanie zatwierdzony.

Ocena ryzyka

Atakujący może wykonać złośliwy kod JavaScript w przeglądarce administratora, co może prowadzić do przejęcia sesji lub całej witryny.

Rekomendacja

Należy zaktualizować wtyczkę Gutenverse News do wersji 3.3.3 lub nowszej, aby naprawić podatność.

Inne podatności w Gutenverse News

CVE-2025-62090Średnie
Wtyczka Gutenverse News (wersje do 3.0.2) ma błąd braku autoryzacji, który pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Nieuprawniony użytkownik może wykonać akcje, do których nie ma uprawnień.

Oryginalny opis (angielski, źródło NVD)

The Gutenverse News WordPress plugin before 3.3.3 does not restrict the extra HTML it adds to WordPress's allowed elements to the context it is meant for, applying the same relaxed list to every sanitisation context including untrusted comments, allowing unauthenticated users to store JavaScript that will execute in the browser of any administrator who reviews the comment queue, and of any visitor to the post once the comment is approved.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS