CVE-2026-93756
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Smash Balloon Social Post Feed – Simple Social Feeds dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez wiadomość komentarza Facebooka w podglądzie Admin Builder przy użyciu v-html we wszystkich wersjach do 4.13.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, gdy administrator odwiedzi stronę podglądu feedu. Atak wymaga jedynie konta na Facebooku do opublikowania komentarza na połączonej stronie Facebooka, bez potrzeby posiadania danych logowania do WordPressa; dodatkowo użycie v-show zamiast v-if powoduje, że wstrzyknięty HTML – w tym handlery onerror – jest oceniany w DOM nawet gdy sekcja komentarzy nie jest widoczna. W połączeniu z brakiem walidacji URL w handlerze AJAX cff_install_addon (admin/addon-functions.php), wstrzyknięty skrypt działający w sesji administratora może wywołać instalację dowolnej wtyczki z adresu URL kontrolowanego przez atakującego, co może prowadzić do wykonania kodu po stronie serwera.
Ocena ryzyka
Atakujący może przejąć sesję administratora i zainstalować złośliwe wtyczki, co może skutkować pełnym przejęciem serwera. Ryzyko jest krytyczne, ponieważ atak nie wymaga uwierzytelnienia w WordPressie, a jedynie konta na Facebooku.
Rekomendacja
Natychmiast zaktualizuj wtyczkę Smash Balloon Social Post Feed do wersji nowszej niż 4.13.0, jeśli jest dostępna. Do czasu wydania poprawki rozważ wyłączenie wtyczki lub ograniczenie dostępu do strony podglądu feedu oraz monitoruj nietypowe instalacje wtyczek.
Inne podatności w Smash Balloon Social Post Feed
Zobacz wszystkie- CVE-2026-16775Średnie
Wtyczka Smash Balloon Social Post Feed – Simple Social Feeds dla WordPressa do wersji 4.9.0 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'id' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2025-49937Średnie
Wtyczka Smash Balloon Social Post Feed firmy Syed Balkhi cierpi na brak autoryzacji (Missing Authorization) w wersjach od n/a do 4.3.2 włącznie. Luka ta pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Smash Balloon Social Post Feed – Simple Social Feeds for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Facebook Comment Message via v-html in Admin Builder Preview in all versions up to, and including, 4.13.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts that will execute whenever an administrator accesses the feed builder preview page. This attack requires only a Facebook account to post a comment on the connected Facebook Page, with no WordPress credentials needed; additionally, the use of v-show rather than v-if means injected HTML — including onerror handlers — is evaluated in the DOM even when the comment section is not visually displayed. When combined with the lack of URL validation in the cff_install_addon AJAX handler (admin/addon-functions.php), an injected script running in an administrator's session can trigger arbitrary plugin installation from an attacker-controlled URL, which may result in server-side code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS