CVE-2026-92409

ŚrednieCVSS 6.8

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Donation Thermometer w wersji przed 2.3.0 nie escapuje wartości koloru pobranej z atrybutu shortcode przed użyciem jej w atrybucie generowanego znacznika legendy. Umożliwia to użytkownikom z rolą Contributor i wyższą wstrzyknięcie dowolnych procedur obsługi zdarzeń, które wykonają się przy wyświetleniu strony.

Ocena ryzyka

Możliwe jest wstrzyknięcie złośliwego kodu JavaScript, który wykona się w przeglądarce odwiedzających stronę, co może prowadzić do kradzieży sesji lub innych ataków.

Rekomendacja

Zaktualizuj wtyczkę Donation Thermometer do wersji 2.3.0 lub nowszej.

Inne podatności w Donation Thermometer

CVE-2025-67550Średnie
Wtyczka Donation Thermometer do WordPressa (wersje do 2.2.6) ma podatność na Stored XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Atakujący może zapisać złośliwy skrypt, który wykona się przy każdej wizycie użytkownika.

Oryginalny opis (angielski, źródło NVD)

The Donation Thermometer WordPress plugin before 2.3.0 does not escape a colour value taken from a shortcode attribute before using it in an attribute of the generated legend markup, allowing users with the Contributor role and above to inject arbitrary event handlers that execute when the page is viewed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS