CVE-2026-9104
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Draft List dla WordPress do wersji 2.6.3 zawiera podatność na Stored XSS przez tytuł szkicu posta. Atakujący z dostępem autora mogą wstrzyknąć skrypty, które wykonają się dla użytkowników bez uprawnień edycji.
Ocena ryzyka
Organizacja narażona jest na wykonanie złośliwych skryptów w przeglądarkach nieuprzywilejowanych użytkowników, co może prowadzić do kradzieży danych lub sesji.
Rekomendacja
Należy zaktualizować wtyczkę Draft List do najnowszej wersji lub zastosować tymczasowe zabezpieczenia.
Inne podatności w Draft List
Zobacz wszystkie- CVE-2026-66603Średnie
Podatność XSS (Cross-site Scripting) w wtyczce Draft List (simple-draft-list) pozwala na przechowywany atak XSS. Wersje do 2.6.4 są podatne.
- CVE-2026-49466Średnie
Draft List to wtyczka WordPress do zarządzania i promowania nieopublikowanych treści. Wersje 2.6.3 i niższe są podatne na trwały cross-site scripting (XSS) w shortcode `[drafts]` i widżecie Draft List, gdy udokumentowana opcja niestandardowego szablonu `template` umieszcza placeholder `{{draft}}` wewnątrz atrybutu HTML. Podatny kod wstawia surowy `post_title` wersji roboczej do `{{draft}}`, gdy bieżący przeglądający nie może edytować postów. Ponieważ szablon jest sanityzowany przed zamianą `{{draft}}`, współpracownik może zapisać tytuł zawierający tylko cytat, który wychodzi poza atrybut w skonfigurowanym szablonie Draft List i wykonuje JavaScript dla odwiedzających publiczną stronę. Wersja 2.6.4 naprawia problem.
Oryginalny opis (angielski, źródło NVD)
The Draft List plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Draft Post Title in all versions up to, and including, 2.6.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The unescaped injection path is triggered specifically when the viewing user lacks edit capabilities, meaning payloads embedded in draft post titles via attribute-breakout techniques execute for unauthenticated users and subscribers.