CVE-2026-9148
WysokieCVSS 7.2Streszczenie
Wtyczka Comments – wpDiscuz dla WordPressa w wersjach do 7.6.56 zawiera podatność na trwałe ataki XSS. Wynika to z braku odpowiedniego kodowania danych wyjściowych w funkcji getCommentAuthor(), która bezpośrednio wstawia wartość pola 'Website' komentatora do atrybutów HTML w apostrofach, bez użycia esc_url() lub esc_attr(). Umożliwia to niezautoryzowanym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, wykraść dane lub przekierować ich na złośliwe strony, co prowadzi do naruszenia poufności i integralności danych w organizacji.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Comments – wpDiscuz do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
The Comments – wpDiscuz plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the guest commenter 'Website' field in versions up to, and including, 7.6.56 This is due to insufficient output escaping in the getCommentAuthor() function, which interpolates the stored comment_author_url value directly into single-quoted HTML attributes without applying esc_url() or esc_attr(). This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.