CVE-2026-91014

WysokieCVSS 7.1

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka Realtyna Organic IDX plugin + WPL Real Estate w wersji przed 5.4.2 nie sanityzuje i nie escapuje niektórych parametrów przed odzwierciedleniem ich w stronie. Umożliwia to nieuwierzytelnionym atakującym uruchomienie dowolnych skryptów internetowych w przeglądarce odwiedzającego, jeśli uda im się nakłonić go do kliknięcia spreparowanego linku (reflected XSS).

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji, danych logowania lub innych poufnych informacji. Ryzyko wymaga interakcji użytkownika (kliknięcie linku).

Rekomendacja

Zaktualizuj wtyczkę Realtyna Organic IDX plugin + WPL Real Estate do wersji 5.4.2 lub nowszej. Poinformuj użytkowników o ryzyku klikania podejrzanych linków.

Inne podatności w Realtyna Organic IDX plugin + WPL Real Estate

CVE-2026-13714Krytyczne
Wtyczka Realtyna Organic IDX + WPL Real Estate dla WordPressa przed wersją 5.3.0 nie weryfikuje typu przesyłanych plików, a funkcja przesyłania plików jest chroniona tylko przez API domyślnie włączone i uwierzytelniane zakodowanymi na stałe danymi, które są identyczne we wszystkich instalacjach. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików PHP i zdalne wykonanie kodu.

Oryginalny opis (angielski, źródło NVD)

The Realtyna Organic IDX plugin + WPL Real Estate WordPress plugin before 5.4.2 does not sanitise and escape some of its parameters before reflecting them back in the page, allowing unauthenticated attackers to run arbitrary web scripts in a visitor's browser if they can trick the visitor into following a crafted link (reflected XSS).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS