CVE-2026-9060
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność w Store Locator WordPress plugin przed wersją 1.6.6 umożliwia użytkownikom z wysokimi uprawnieniami (np. administratorom) przeprowadzenie ataków Stored XSS, nawet gdy funkcja unfiltered_html jest wyłączona (np. w multisite).
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego skryptu, który wykona się w przeglądarkach odwiedzających stronę, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Store Locator do wersji 1.6.6 lub nowszej.
Inne podatności w Store Locator WordPress plugin
Zobacz wszystkie- CVE-2026-9062Niskie
Podatność we wtyczce Store Locator do WordPressa (przed wersją 1.6.9) umożliwia użytkownikom z wysokimi uprawnieniami (np. administratorom) odczyt dowolnych plików .php na serwerze, w tym plików konfiguracyjnych z danymi logowania do bazy danych i kluczami uwierzytelniania.
- CVE-2026-9061Niskie
Wtyczka Store Locator dla WordPress przed wersją 1.6.9 nie oczyszcza metadanych logo sklepu przed zapisem i wyświetleniem na stronie administracyjnej, co pozwala użytkownikom z wysokimi uprawnieniami (np. administratorom) na przeprowadzenie ataków Stored XSS, nawet gdy `unfiltered_html` jest wyłączone (np. w sieci multisite).
Oryginalny opis (angielski, źródło NVD)
The Store Locator WordPress plugin before 1.6.6 does not sanitize and escape one of its settings before storing it and outputting it on the Store Locator WordPress plugin before 1.6.6 admin page, allowing high-privileged users such as administrators to perform Stored Cross-Site Scripting attacks even when the `unfiltered_html` capability is disallowed (e.g. in a multisite network where the super admin visits the page).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS