CVE-2026-87762

WysokieCVSS 8.8

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Wtyczka Adwised Web Push Notification dla WordPressa do wersji 2.5.7 nie posiada sprawdzeń autoryzacji dla kilku operacji zmieniających stan, a porównanie sekretów, którego używa zamiast tego, może zostać ominięte na instalacjach, gdzie klucz sekretny nigdy nie został ustawiony, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie dowolnego JavaScriptu, który jest wykonywany w przeglądarce każdego odwiedzającego witrynę.

Ocena ryzyka

Przechowywany XSS może prowadzić do przejęcia sesji odwiedzających, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania na wszystkich odwiedzających witrynę.

Rekomendacja

Zaktualizuj wtyczkę Adwised Web Push Notification do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Jeśli nie jest dostępna, rozważ jej usunięcie lub wyłączenie do czasu wydania łatki.

Inne podatności w Adwised Web Push Notification WordPress plugin

CVE-2026-87761Wysokie
Wtyczka Adwised Web Push Notification dla WordPressa do wersji 2.5.7 nie wykonuje żadnego sprawdzenia uprawnień ani nonce przed umożliwieniem uwierzytelnionemu użytkownikowi nadpisania konfiguracji całej witryny, ani nie escapuje tych wartości konfiguracyjnych przed wydrukowaniem ich w bloku skryptu inline na każdej stronie front-end, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na przeprowadzanie ataków Stored Cross-Site Scripting przeciwko każdemu odwiedzającemu, w tym administratorom.

Oryginalny opis (angielski, źródło NVD)

The Adwised Web Push Notification WordPress plugin through 2.5.7 does not have authorisation checks on several state-changing operations, and the secret comparison it uses instead can be bypassed on installations where the secret key has never been set, allowing unauthenticated users to store arbitrary JavaScript that is executed in the browser of every site visitor.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS