CVE-2026-90887
WysokieCVSS 7.1Streszczenie
Nieuwierzytelniona podatność na Cross-Site Scripting (XSS) w wtyczce WP Inventory Manager w wersji ≤ 2.5.4. Atakujący może wykonać skrypty w przeglądarce ofiary bez uwierzytelnienia.
Ocena ryzyka
Ryzyko przejęcia sesji lub wykonania nieautoryzowanych działań w kontekście zalogowanego użytkownika.
Rekomendacja
Zaktualizuj wtyczkę do wersji, która zawiera poprawkę zabezpieczającą. Weryfikuj dane wejściowe.
Inne podatności w WP Inventory Manager
Zobacz wszystkie- CVE-2026-17607Średnie
Wtyczka WP Inventory Manager dla WordPressa jest podatna na iniekcję SQL przez atrybut 'where' shortcode'u [wpinventory] w wersjach do 2.5.1 włącznie. Dzieje się tak z powodu niewystarczającego escapowania parametru i braku przygotowania zapytania SQL w funkcji WPIMItem::get_all(). Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą dołączać dodatkowe zapytania SQL, co pozwala na wyciągnięcie wrażliwych informacji z bazy danych.
- CVE-2026-57772Wysokie
Wtyczka WP Inventory Manager dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 2.4.0 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in WP Inventory Manager <= 2.5.4 versions.