CVE-2026-89002
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WPeMatico RSS Feed Fetcher przed wersją 2.8.26 nie sanityzuje i nie escapuje treści pobieranej ze źródła dostarczonego przez użytkownika przed jej wyrenderowaniem. Może to pozwolić użytkownikom takim jak Contributor na przeprowadzenie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym kampanię.
Ocena ryzyka
Atak XSS może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści przez użytkownika o wyższych uprawnieniach.
Rekomendacja
Zaktualizuj wtyczkę WPeMatico RSS Feed Fetcher do wersji 2.8.26 lub nowszej.
Inne podatności w WPeMatico RSS Feed Fetcher
Zobacz wszystkie- CVE-2026-57349Wysokie
Wtyczka WPeMatico RSS Feed Fetcher w wersjach do 2.8.17 zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-89005Średnie
Wtyczka WordPress WPeMatico RSS Feed Fetcher przed wersją 2.8.26 nie sanityzuje i nie escapuje jednego z pól konfiguracji kampanii, gdy włączona jest określona funkcja. Pozwala to użytkownikom z rolą Contributor i wyższą na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji użytkownika o wyższych uprawnieniach przeglądającego kampanię.
- CVE-2026-19883Wysokie
Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa do wersji 2.8.24 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji wpematico_import_settings. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą aktualizować dowolne opcje w witrynie WordPress, co może prowadzić do eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
The WPeMatico RSS Feed Fetcher WordPress plugin before 2.8.26 does not sanitize and escape content it retrieves from a user-supplied source before rendering it, which could allow users such as contributors to perform Stored Cross-Site Scripting attacks against higher-privileged users who review the campaign.