CVE-2026-8882
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WP ApplicantStack Jobs Display dla WordPressa do wersji 1.1.1 włącznie zawiera podatność na trwałe XSS przez atrybuty shortcode. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.
Ocena ryzyka
Złośliwy skrypt może wykonać się na stronie przy każdym jej odwiedzeniu, co grozi kradzieżą danych użytkowników lub przejęciem sesji.
Rekomendacja
Należy zaktualizować wtyczkę do najnowszej wersji i wdrożyć odpowiednie mechanizmy sanityzacji danych wejściowych oraz kodowania wyjścia.
Powiązane podatności
- CVE-2026-82110Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki (path traversal) z powodu nieprawidłowej walidacji nazw ścieżek. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do wykonania dowolnego kodu.
- CVE-2026-82103Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 ujawnia wrażliwe informacje nieupoważnionemu podmiotowi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do uzyskania poufnych danych.
- CVE-2026-82101Krytyczne
IBM DataStage on Cloud Pak for Data 5.4.0.0 zawiera podatność na przejście ścieżki, która może prowadzić do odmowy usługi. Zdalny uwierzytelniony atakujący może wykorzystać tę podatność do zakłócenia działania usługi.
- CVE-2026-90920Krytyczne
IBM Maximo AI Service 9.1.0 i 9.2.0 zawiera podatność związaną z nieprawidłową kontrolą generowania kodu. Zdalny atakujący może wykorzystać tę podatność do wykonania dowolnego kodu.
- CVE-2026-44828Krytyczne
Qexo w wersjach od 4.0.0 do 4.2.0 udostępnia endpoint /api/init_step/ bez uwierzytelnienia, autoryzacji ani zabezpieczenia przed ponownym uruchomieniem konfiguracji. Nieuwierzytelniony atakujący z ważnym tokenem CSRF może zresetować ustawienie INIT i ponownie wejść w proces konfiguracji, co może ujawnić przechowywane dane uwierzytelniające PROVIDER.
- CVE-2026-109566Krytyczne
Rapyd Admin w wersjach od 9.0.0 do przed 9.20.0 zawiera twardo zakodowane poświadczenia, które pozwalają zdalnym nieuwierzytelnionym atakującym uzyskać dostęp super-administratora przez konto admin@laravel z hasłem admin. Konto jest tworzone przez instalator i cicho odtwarzane przy każdym uruchomieniu rpd:make, umożliwiając atakującym ominięcie autoryzacji i ograniczeń dzierżawy.
- CVE-2026-108929Krytyczne
Netcore NR268 w wersji 1.7.121109 zawiera podatność na wstrzykiwanie argumentów w funkcji execvp pliku /router/DDNSset.cgi w komponencie DDNS. Manipulacja argumentem Hostname może prowadzić do wstrzyknięcia argumentów, a atak może być przeprowadzony zdalnie.
- CVE-2025-71429Krytyczne
GPT-SoVITS do wersji 20250606v2pro zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku tools/uvr5/vr.py, która pozwala nieuwierzytelnionym atakującym wykonywać polecenia przez ścieżki folderów wyjściowych. Atakujący mogą wprowadzić substytucje powłoki, takie jak $(...), w polach tekstowych folderu wyjściowego UVR5 WebUI z eksportem mp3 lub m4a, aby uruchomić polecenia jako użytkownik serwera.
- CVE-2026-96012Krytyczne
IBM Db2 Mirror for i w wersjach 7.4, 7.5 i 7.6 jest podatny na eskalację uprawnień. Uwierzytelniony atakujący może wysłać złośliwe żądanie, które omija dodatkowe kontrole autoryzacji i walidacji danych wejściowych, aby wykonać złośliwy kod i uzyskać podwyższone uprawnienia.
- CVE-2026-109575Krytyczne
HAProxy Data Plane API w wersjach od 2.2.0 do 3.4.3 (oraz odpowiednie wydania Enterprise Edition) zawiera globalną logikę uwierzytelniania, która nieprawidłowo usuwa zabezpieczenia dla wielu typów transportu. Gdy skonfigurowano TLS CA i określono numeryczny port TLS, aplikacja globalnie wyłącza podstawowe uwierzytelnianie na współdzielonym wewnętrznym handlerze żądań, co pozwala nieuwierzytelnionym atakującym na dostęp do endpointów HTTP lub UNIX, całkowicie omijając poświadczenia i uzyskując pełny dostęp administracyjny do API.
Oryginalny opis (angielski, źródło NVD)
The WP ApplicantStack Jobs Display plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Shortcode Attributes in all versions up to, and including, 1.1.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS