CVE-2026-92411

ŚrednieCVSS 6.8

Opublikowano: 26/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress WP Delicious przed wersją 1.10.8 nie waliduje ani nie escapuje nazwy znacznika HTML pochodzącej z danych bloku przepisu dostarczonych przez użytkownika przed wyrenderowaniem jej na froncie. Umożliwia to użytkownikom z rolą Contributor i wyższą wstrzyknięcie dowolnych znaczników HTML, w tym znaczników script, które wykonują się przy wyświetleniu strony przepisu.

Ocena ryzyka

Użytkownik z niskimi uprawnieniami może wstrzyknąć złośliwy JavaScript wykonywany w przeglądarkach odwiedzających stronę przepisu, co grozi kradzieżą sesji lub przejęciem konta. Ryzyko dotyczy każdej witryny z zainstalowaną podatną wersją wtyczki.

Rekomendacja

Zaktualizuj wtyczkę WP Delicious do wersji 1.10.8 lub nowszej. Do czasu aktualizacji ogranicz role Contributor i przeglądaj treści przepisów pod kątem podejrzanych znaczników HTML.

Inne podatności w WP Delicious WordPress plugin

CVE-2026-14305Średnie
Wtyczka WP Delicious dla WordPressa przed wersją 1.10.2 nie sprawdza autoryzacji w jednej z akcji AJAX. Nieuwierzytelnieni użytkownicy mogą modyfikować ograniczone metadane postów (licznik polubień i powiązaną listę identyfikatorów) na dowolnych postach, w tym zawyżać licznik i nieograniczenie zwiększać przechowywane metadane.

Oryginalny opis (angielski, źródło NVD)

The WP Delicious WordPress plugin before 1.10.8 does not validate or escape the HTML tag name taken from user-supplied recipe block data before rendering it on the front end, allowing users with the Contributor role and above to inject arbitrary HTML tags, including script tags, which execute when the recipe page is viewed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS