CVE-2026-89424

ŚrednieCVSS 6.4

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka Duplicate Post dla WordPressa do wersji 1.5.6 włącznie jest podatna na trwały XSS przez parametr 'noti_token'. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia uwierzytelnionym atakującym z dostępem na poziomie subskrybenta lub wyższym wstrzyknięcie skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wymaga to włączenia przez administratora uprawnień dla roli Subscriber w ustawieniach wtyczki.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwego skryptu w kontekście przeglądarki każdego użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków. Atak wymaga posiadania konta o niskich uprawnieniach, ale może dotknąć wszystkich odwiedzających.

Rekomendacja

Zaktualizuj wtyczkę Duplicate Post do najnowszej wersji z poprawką. Jeśli nie jest to konieczne, wyłącz opcję User Level Permissions dla roli Subscriber, aby ograniczyć wektor ataku.

Inne podatności w Duplicate Post

CVE-2026-19077Średnie
Wtyczka Duplicate Post przed wersją 1.5.5 nie przeprowadza kontroli autoryzacji dla poszczególnych obiektów w operacjach masowego kopiowania i usuwania. Umożliwia to każdemu użytkownikowi, któremu administrator przyznał dostęp do wtyczki, trwałe usuwanie dowolnych wpisów na stronie, w tym należących do innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

The Duplicate Post plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'noti_token' parameter in all versions up to, and including, 1.5.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires that the site owner has enabled the plugin's User Level Permissions for the Subscriber role, as this grants access to the i_saw_this_noti AJAX branch needed to deliver the payload.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS