CVE-2026-89005
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WPeMatico RSS Feed Fetcher przed wersją 2.8.26 nie sanityzuje i nie escapuje jednego z pól konfiguracji kampanii, gdy włączona jest określona funkcja. Pozwala to użytkownikom z rolą Contributor i wyższą na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji użytkownika o wyższych uprawnieniach przeglądającego kampanię.
Ocena ryzyka
Atak XSS może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści przez użytkownika o wyższych uprawnieniach.
Rekomendacja
Zaktualizuj wtyczkę WPeMatico RSS Feed Fetcher do wersji 2.8.26 lub nowszej.
Inne podatności w WPeMatico RSS Feed Fetcher
Zobacz wszystkie- CVE-2026-57349Wysokie
Wtyczka WPeMatico RSS Feed Fetcher w wersjach do 2.8.17 zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-89002Średnie
Wtyczka WordPress WPeMatico RSS Feed Fetcher przed wersją 2.8.26 nie sanityzuje i nie escapuje treści pobieranej ze źródła dostarczonego przez użytkownika przed jej wyrenderowaniem. Może to pozwolić użytkownikom takim jak Contributor na przeprowadzenie ataków Stored Cross-Site Scripting przeciwko użytkownikom o wyższych uprawnieniach przeglądającym kampanię.
- CVE-2026-19883Wysokie
Wtyczka WPeMatico RSS Feed Fetcher dla WordPressa do wersji 2.8.24 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji wpematico_import_settings. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą aktualizować dowolne opcje w witrynie WordPress, co może prowadzić do eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
The WPeMatico RSS Feed Fetcher WordPress plugin before 2.8.26 does not sanitise and escape one of its campaign configuration fields when a certain feature is enabled, which allows users with the Contributor role and above to perform Stored Cross-Site Scripting attacks that execute in the session of any higher-privileged user who later views the campaign.