CVE-2026-87780
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka LTL Freight Quotes dla WordPressa w wersjach przed 4.2.19 nie sanityzuje ani nie escapuje wartości przesyłanych przez nieuwierzytelniony endpoint przed ich zapisaniem i wyświetleniem na stronie administracyjnej, co prowadzi do trwałego XSS wykonywanego w sesji każdego administratora, który ją wyświetli.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt, który wykona się w sesji administratora, umożliwiając przejęcie konta administratora i pełną kontrolę nad serwisem WordPress.
Rekomendacja
Zaktualizuj wtyczkę LTL Freight Quotes do wersji 4.2.19 lub nowszej. Sprawdź bazę danych pod kątem wstrzykniętych skryptów w polach zapisywanych przez wtyczkę.
Inne podatności w LTL Freight Quotes WordPress plugin
Zobacz wszystkie- CVE-2026-107160Nieznane
Wtyczka WordPress LTL Freight Quotes przed wersją 4.2.19 nie wykonuje żadnej kontroli autoryzacji ani sanityzacji danych wejściowych przed zapisaniem niektórych wartości z żądania. Umożliwia to nieuwierzytelnionym użytkownikom wstrzyknięcie kodu HTML i linków, które są renderowane dla odwiedzających sklep.
- CVE-2026-107158Nieznane
Wtyczka WordPress LTL Freight Quotes przed wersją 4.2.19 nie wykonuje żadnej kontroli autoryzacji ani walidacji na jednej ze swoich tras REST, która zapisuje do bazy danych. Umożliwia to nieuwierzytelnionym użytkownikom modyfikację niektórych zapisanych ustawień wtyczki.
- CVE-2026-87781Wysokie
Wtyczka LTL Freight Quotes dla WordPressa w wersjach przed 4.2.19 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL, co prowadzi do wstrzyknięcia SQL możliwego do wykorzystania przez nieuwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The LTL Freight Quotes WordPress plugin before 4.2.19 does not sanitise and escape values submitted through an unauthenticated endpoint before storing them and outputting them back in an administrative page, leading to Stored XSS which will execute in the session of any administrator viewing it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS