CVE-2026-86784
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Visualizer w wersji przed 4.0.8 nie sanityzuje ani nie escapuje konfiguracji źródła danych JSON wykresu przed wyświetleniem jej w edytorze wykresów. Użytkownicy z rolą Contributor i wyższą mogą zapisać JavaScript, który wykonuje się w przeglądarce każdego użytkownika o wyższych uprawnieniach, np. administratora, przeglądającego dotknięty wykres.
Ocena ryzyka
Stored XSS pozwala na przejęcie sesji administratora, modyfikację treści witryny lub instalację złośliwego oprogramowania. Wymaga jedynie konta o niskich uprawnieniach, co zwiększa ryzyko w środowiskach z wieloma autorami.
Rekomendacja
Zaktualizuj wtyczkę Visualizer do wersji 4.0.8 lub nowszej. Przejrzyj istniejące wykresy pod kątem podejrzanych konfiguracji źródeł danych.
Inne podatności w Visualizer
Zobacz wszystkie- CVE-2026-86782Średnie
Wtyczka Visualizer dla WordPressa w wersjach przed 4.0.6 nieprawidłowo autoryzuje dostęp do działań związanych z budowaniem wykresów. Umożliwia to użytkownikom z rolą Contributor i wyższą publikowanie, zmianę nazw i nadpisywanie treści wpisów i stron, których nie są właścicielami, w tym prywatnych szkiców innych użytkowników.
- CVE-2026-19726Średnie
Wtyczka Visualizer dla WordPressa przed wersją 4.0.7 nieprawidłowo autoryzuje dostęp do konfiguracji wykresów, umożliwiając użytkownikom z rolą Współautor i wyżej odczytanie pełnej konfiguracji dowolnego wykresu na stronie, w tym wykresów, do których interfejs wtyczki nie daje im dostępu, oraz pobranie konfiguracji wszystkich wykresów w jednym żądaniu. Ujawniona konfiguracja może zawierać poświadczenia zdalnego źródła danych.
- CVE-2026-65526Wysokie
Wtyczka Visualizer dla WordPressa (wersje do 4.0.1 włącznie) zawiera podatność na blind SQL Injection przez niewłaściwe neutralizowanie specjalnych elementów w zapytaniach SQL.
- CVE-2026-24573Średnie
Wtyczka WordPress Visualizer przed wersją 4.0.0 zawiera podatność na trwałe XSS (Stored Cross-Site Scripting) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
The Visualizer WordPress plugin before 4.0.8 does not sanitise and escape a chart's JSON data source configuration before outputting it back in the chart editor, allowing users with the Contributor role and above to store JavaScript that executes in the browser of any higher-privileged user, such as an administrator, who reviews the affected chart.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS