CVE-2026-88825

WysokieCVSS 8.8

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress iGMS Direct Booking przed wersją 2.0 nie autoryzuje ani nie escapuje ustawień wyglądu widżetu. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie dowolnych skryptów internetowych, które wykonują się w kontekście administratora przeglądającego ustawienia oraz w przeglądarce każdego odwiedzającego stronę z widżetem rezerwacji.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty (XSS) wykonywane w przeglądarce administratora i odwiedzających, prowadząc do przejęcia sesji lub kradzieży danych.

Rekomendacja

Zaktualizuj wtyczkę do wersji 2.0 lub nowszej. Sprawdź ustawienia widżetu pod kątem wstrzykniętych skryptów.

Inne podatności w iGMS Direct Booking

CVE-2026-39652Średnie
Wtyczka iGMS Direct Booking dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.3 włącznie.

Oryginalny opis (angielski, źródło NVD)

The iGMS Direct Booking WordPress plugin before 2.0 does not authorise or escape its widget appearance settings, allowing unauthenticated users to store arbitrary web scripts that execute in the context of an administrator viewing the iGMS Direct Booking WordPress plugin before 2.0 settings, and in the browser of any visitor to a page displaying the booking widget.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS