CVE-2026-89307
ŚrednieCVSS 5.1Streszczenie
Funkcja "Firma Circolare" w motywie WordPress "Design Scuole Italia" umożliwia uwierzytelnionemu atakującemu wstrzyknięcie dowolnego kodu HTML przez parametr sign, co pozwala na wymuszone przekierowanie odwiedzających użytkowników na adres URL kontrolowany przez atakującego (Stored HTML Injection / Open Redirect).
Ocena ryzyka
Organizacja narażona jest na phishing i kradzież danych, ponieważ użytkownicy mogą zostać przekierowani na złośliwe strony bez ich wiedzy.
Rekomendacja
Zaleca się aktualizację motywu "Design Scuole Italia" do najnowszej wersji oraz walidację i sanityzację parametru sign w celu zapobieżenia wstrzykiwaniu HTML.
Inne podatności w Design Scuole Italia WordPress theme
Zobacz wszystkie- CVE-2026-87793Średnie
Motyw WordPress "Design Scuole Italia" jest podatny na odzwierciedlony XSS w pliku filters-scheda-didattica.php, co pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego JavaScript w przeglądarce ofiary poprzez spreparowany URL zawierający złośliwy parametr archive.
- CVE-2026-87792Wysokie
Motyw WordPress "Design Scuole Italia" jest podatny na wiele luk obejścia autoryzacji w funkcjach dsi_pdf_generator i dsi_csv_generator, umożliwiając nieuwierzytelnionemu atakującemu dostęp do zastrzeżonych treści "Circolare" oraz danych zarejestrowanych użytkowników. Eksploatację ułatwia nieuwierzytelniony kanał RSS pod /circolare/feed/.
- CVE-2026-87791Wysokie
W motywie WordPress "Design Scuole Italia" istnieje luka path traversal w funkcji reserved_file_check w pliku functions.php. Luka umożliwia nieuwierzytelnionemu atakującemu pobranie dowolnych plików dostępnych dla procesu serwera WWW.
Oryginalny opis (angielski, źródło NVD)
The "Firma Circolare" feature in the "Design Scuole Italia" WordPress theme allows an authenticated attacker to inject arbitrary HTML via the sign parameter, enabling forced redirection of visiting users to an attacker-controlled URL (Stored HTML Injection / Open Redirect).