CVE-2026-8991

ŚrednieCVSS 4.4

Opublikowano: 06/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa do wersji 1.3.9.7 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienia 'drag_n_drop_text' i 'drag_n_drop_browse_text'. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia.

Ocena ryzyka

Uwierzytelniony atakujący z dostępem na poziomie administratora lub wyższym może wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji oraz ograniczenie uprawnień administratora tylko do zaufanych użytkowników.

Inne podatności w Drag and Drop Multiple File Upload for Contact Form 7

CVE-2026-14325Niskie
Wtyczka Drag and Drop Multiple File Upload for Contact Form 7 dla WordPressa przed wersją 1.3.9.9 nie ucieka jednego ze swoich ustawień przed użyciem go jako nazwy tagu HTML w danych wyjściowych front-endu, co pozwala użytkownikom z dostępem administratora na wstrzykiwanie dowolnych skryptów internetowych, które wykonują się na każdej stronie front-endu renderującej pole przesyłania plików.

Oryginalny opis (angielski, źródło NVD)

The Drag and Drop Multiple File Upload for Contact Form 7 plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'drag_n_drop_text' and 'drag_n_drop_browse_text' Settings in all versions up to, and including, 1.3.9.7 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.