CVE-2026-88792

WysokieCVSS 8.8

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Dictionary do wersji 1.0 włącznie nie ma autoryzacji, sanityzacji ani escapowania przy dodawaniu lub aktualizowaniu wpisów słownika. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie dowolnych skryptów internetowych, które wykonają się, gdy użytkownik wyświetli dotknięty wpis.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce odwiedzających, prowadząc do kradzieży sesji, phishingu lub innych ataków. Może to naruszyć zaufanie użytkowników i bezpieczeństwo witryny.

Rekomendacja

Zaktualizuj wtyczkę Dictionary do wersji nowszej niż 1.0. Sprawdź, czy wtyczka stosuje autoryzację, sanityzację i escapowanie danych wejściowych.

Inne podatności w Dictionary WordPress plugin

CVE-2025-15697Wysokie
Wtyczka Dictionary do WordPressa do wersji 1.0 nie escapuje danych wejściowych użytkownika przed odzwierciedleniem ich w odpowiedziach kilku bezpośrednio dostępnych skryptów. Umożliwia to nieuwierzytelnionym atakującym przeprowadzanie ataków Reflected Cross-Site Scripting przeciwko każdemu, kogo uda im się nakłonić do wysłania spreparowanego żądania.

Oryginalny opis (angielski, źródło NVD)

The Dictionary WordPress plugin through 1.0 does not have authorisation, sanitisation or escaping in place when adding or updating dictionary entries, allowing unauthenticated users to store arbitrary web scripts which will execute when a user views an affected entry.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS