CVE-2026-93339
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Ditty przed wersją 3.1.70 ma przechowywaną podatność XSS, która pozwala uwierzytelnionym użytkownikom z uprawnieniami Autora lub wyższymi wstrzykiwać dowolne elementy HTML przez złośliwe wartości atrybutów w tagach layoutu. Funkcja renderująca wstawia te wartości bez listy dozwolonych, omijając sanityzację wp_kses_post().
Ocena ryzyka
Wykonanie złośliwego kodu w przeglądarce odwiedzających, kradzież danych, defacement.
Rekomendacja
Zaktualizuj wtyczkę Ditty do wersji 3.1.70 lub nowszej, która naprawia problem.
Inne podatności w Ditty
Zobacz wszystkie- CVE-2026-27355Średnie
Wtyczka Ditty dla WordPressa w wersji 3.1.66 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.
- CVE-2026-94461Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Ditty w wersjach do 3.1.69 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributor.
- CVE-2026-81274Średnie
Wtyczka Ditty w wersji 3.1.67 i wcześniejszych ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów. Użytkownik z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
- CVE-2026-9011Wysokie
Podatność w pluginie Ditty dla WordPressa w wersjach do 3.1.65 – brak weryfikacji autoryzacji w punkcie końcowym AJAX ditty_init pozwala nieuwierzytelnionym atakującym na odczyt treści niepublicznych Dittys (w tym szkiców, oczekujących, zaplanowanych i wyłączonych) poprzez enumerację identyfikatorów postów.
Oryginalny opis (angielski, źródło NVD)
Metaphor Creations Ditty (ditty-news-ticker) before 3.1.70 contains a stored cross-site scripting vulnerability that allows authenticated users with Author-level privileges or higher to inject arbitrary HTML elements by supplying malicious wrapper attribute values in layout tags. The ditty_layout_render_tag_wrapper() function inserts caller-supplied wrapper attribute values directly as HTML element names without allowlist validation, bypassing wp_kses_post() sanitization because KSES runs at save time before layout tag attributes are resolved at render time, causing the payload to execute in the browser of any visitor viewing posts or pages embedding the affected Ditty item.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS