CVE-2026-9148
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Comments – wpDiscuz dla WordPressa w wersjach do 7.6.56 zawiera podatność na trwałe ataki XSS. Wynika to z braku odpowiedniego kodowania wyjścia w funkcji getCommentAuthor(), która bezpośrednio interpoluje pole 'Website' gościa komentującego do atrybutów HTML w pojedynczych cudzysłowach. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdym wyświetleniu strony.
Ocena ryzyka
Organizacja narażona jest na kradzież sesji użytkowników, przekierowania do złośliwych witryn oraz kradzież wrażliwych danych. Atak może być przeprowadzony bez uwierzytelnienia, co zwiększa ryzyko masowego wykorzystania podatności.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Comments – wpDiscuz do wersji 7.6.57 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę do czasu wdrożenia poprawki.
Inne podatności w wpDiscuz
Zobacz wszystkie- CVE-2026-119366Wysokie
Wtyczka wpDiscuz firmy AdvancedCoding do 7.6.73 nie neutralizuje prawidłowo danych wejściowych podczas generowania stron, co umożliwia atak Stored XSS. Podatność dotyczy wersji od n/a do 7.6.73.
- CVE-2025-68997Średnie
Podatność Authorization Bypass Through User-Controlled Key w AdvancedCoding wpDiscuz (wersje do 7.6.43 włącznie) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2025-59591Średnie
Wtyczka wpDiscuz do wersji 7.6.33 włącznie ma podatność związaną z brakiem autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy mechanizmu autoryzacji wtyczki.
Oryginalny opis (angielski, źródło NVD)
The Comments – wpDiscuz plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the guest commenter 'Website' field in versions up to, and including, 7.6.56 This is due to insufficient output escaping in the getCommentAuthor() function, which interpolates the stored comment_author_url value directly into single-quoted HTML attributes without applying esc_url() or esc_attr(). This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS