CVE-2026-91829

WysokieCVSS 7.1

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Subscribe to Comments dla WordPressa przed wersją 2.3.3 nie waliduje poprawnie parametru przed odzwierciedleniem go w atrybucie linku, co pozwala nieuwierzytelnionym atakującym na przeprowadzenie Reflected Cross-Site Scripting za pomocą spreparowanego URL, który po kliknięciu przez ofiarę (w tym administratora) wykonuje złośliwy skrypt.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta administratora lub rozprzestrzeniania złośliwego oprogramowania. Atak może być przeprowadzony bez uwierzytelnienia.

Rekomendacja

Należy zaktualizować wtyczkę Subscribe to Comments do wersji 2.3.3 lub nowszej. Należy również poinformować użytkowników o ryzyku klikania w podejrzane linki.

Inne podatności w Subscribe to Comments

CVE-2026-66706Średnie
Podatność na Cross Site Scripting (XSS) wtyczki Subscribe to Comments (wersje do 2.3.1) występuje z poziomu autora. Oznacza to, że użytkownik z rolą autora może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

The Subscribe to Comments WordPress plugin before 2.3.3 does not properly validate a parameter before reflecting it into a link target, allowing unauthenticated attackers to perform Reflected Cross-Site Scripting via a crafted URL against anyone who clicks it, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS