CVE-2026-87970
ŚrednieCVSS 4.7Streszczenie
Wtyczka WordPress If-So Dynamic Content przed wersją 1.10.2 nie escapuje wartości dostarczonej w żądaniu przed odzwierciedleniem jej w nieuwierzytelnionej odpowiedzi AJAX zwracanej jako HTML. Umożliwia to atakującym wykonanie dowolnego kodu JavaScript w przeglądarce odwiedzającego, który otworzy spreparowany link.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków. Ryzyko dotyczy każdego odwiedzającego, który kliknie spreparowany link.
Rekomendacja
Należy zaktualizować wtyczkę If-So Dynamic Content do wersji 1.10.2 lub nowszej. Zaleca się również edukację użytkowników w zakresie unikania podejrzanych linków.
Inne podatności w If-So Dynamic Content WordPress plugin
Zobacz wszystkie- CVE-2026-118164Średnie
Wtyczka If-So Dynamic Content – Elementor & All Page Builders Personalization dla WordPressa w wersjach do 1.10.2 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'repeater[*][version_uid]' oraz wiele powiązanych pól (freeze-mode, cookie-input, ip-input, compare, utm-value, page-url-compare, group-name, custom) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-104740Średnie
Wtyczka If-So Dynamic Content dla WordPressa jest podatna na przechowywany XSS poprzez atrybut 'conversion' shortcode'u w wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony.
Oryginalny opis (angielski, źródło NVD)
The If-So Dynamic Content WordPress plugin before 1.10.2 does not escape a request-supplied value before reflecting it in an unauthenticated AJAX response that is served as HTML, allowing attackers to execute arbitrary JavaScript in the browser of a visitor who opens a crafted link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS