CVE-2026-93293
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Password Protected dla WordPress jest podatna na przechowywane cross-site scripting poprzez dołączony handler ukończenia zakupu w Freemius SDK we wszystkich wersjach do 2.8.4 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Po zakończeniu opt-in Freemius handler przetwarza parametr żądania 'purchased_plan' w dowolnym żądaniu wp-admin od uwierzytelnionego użytkownika bez weryfikacji uprawnień, nonce ani zakupu, i zapisuje go w trwałym komunikacie administracyjnym.
Ocena ryzyka
Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się automatycznie, gdy administrator odwiedzi standardową stronę administracyjną.
Rekomendacja
Zaktualizuj wtyczkę Password Protected do wersji nowszej niż 2.8.4, zawierającej poprawkę.
Powiązane podatności
- CVE-2026-22058Krytyczne
StorageGRID w wersjach 11.3 i nowszych pozwala atakującemu posiadającemu wiedzę o produkcie oraz możliwość komunikacji z siecią Grid Network na określonych portach na wysyłanie nieautoryzowanych żądań.
- CVE-2026-120931Krytyczne
Podatność typu out-of-bounds write w WebGL w Google Chrome na Androidzie w wersjach przed 156.0.8078.47 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-112354Krytyczne
Interfejs webowy stacji ładowania Etrel INCH AC w wersjach firmware przed 7.1.2 i 8.0.1 zawiera podatność na wbudowane domyślne poświadczenia, co pozwala zdalnym atakującym uzyskać pełny dostęp administratora poprzez logowanie się na fabryczne konto. Atakujący mogą zalogować się przez nieszyfrowany HTTP, aby uzyskać pełną konfigurację ładowarki, tożsamość OCPP ChargePoint oraz szczegóły połączenia CSMS WebSocket, umożliwiając nieautoryzowaną kontrolę administracyjną nad stacją ładowania.
- CVE-2026-95860Krytyczne
W bibliotece node-opcua (implementacja OPC UA dla TypeScript i Node.js) w wersjach od 2.42.0 do 2.180.0 kontrola dostępu na poziomie przestrzeni nazw skonfigurowana przez setDefaultRolePermissions nie jest respektowana dla węzłów bez jawnych uprawnień. Metoda SessionContext.getApplicableRolePermissions odczytuje brakującą lub pustą wartość zamiast skonfigurowanego pola, a wynik null jest traktowany jako zezwolenie. Anonimowy klient sieciowy może w konsekwencji zapisywać zmienne lub wywoływać metody, gdy operator polegał na restrykcyjnych ustawieniach domyślnych.
- CVE-2026-82158Krytyczne
Dell Wyse Management Suite w wersjach przed 2609.0.0.155 zawiera podatność typu cross-site scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Niskouprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę lukę do wstrzyknięcia skryptu.
- CVE-2026-121249Krytyczne
W Google Chrome przed wersją 157.0.8103.38 występuje przepełnienie bufora w komponencie ANGLE. Zdalny atakujący może wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121247Krytyczne
W Google Chrome na systemie Android przed wersją 157.0.8103.38 występuje przepełnienie bufora w komponencie Dawn. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121246Krytyczne
Podatność use-after-free w komponencie WebGL przeglądarki Google Chrome na Androidzie w wersjach przed 157.0.8103.38. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121241Krytyczne
Podatność use-after-free w komponencie Navigation przeglądarki Google Chrome na Androidzie w wersjach przed 157.0.8103.38. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121234Krytyczne
Podniesienie uprawnień w komponencie Contacts przeglądarki Google Chrome na Androidzie przed wersją 157.0.8103.38 pozwala zdalnemu atakującemu potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
Oryginalny opis (angielski, źródło NVD)
The Password Protected plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the bundled Freemius SDK's purchase-completion handler in all versions up to, and including, 2.8.4 due to insufficient input sanitization and output escaping. Once the site's Freemius opt-in is complete (the normal state after an administrator clicks "Allow & Continue"), the handler processes the 'purchased_plan' request parameter on any wp-admin request from an authenticated user without any capability, nonce, or purchase validation, and stores it in a persistent, site-wide administrative notice. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts that execute automatically when an administrator views a standard admin page such as their Profile page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS