CVE-2026-93775
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na trwały atak XSS przez webhook Auphonic w wersjach do 4.5.6 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony. Atak jest wyzwalany przez wysłanie żądania do endpointu webhook z polem status_string innym niż 'Done'.
Ocena ryzyka
Ryzyko obejmuje wykonanie skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji. Atak jest możliwy bez uwierzytelnienia, a dane są zapisywane w logach przed walidacją klucza.
Rekomendacja
Zaleca się aktualizację wtyczki Podlove Podcast Publisher do najnowszej wersji. Należy również zabezpieczyć endpoint webhook, aby walidował klucz przed zapisem danych.
Inne podatności w Podlove Podcast Publisher
Zobacz wszystkie- CVE-2026-66615Wysokie
Nieuwierzytelniona podatność Cross Site Scripting (XSS) we wtyczce Podlove Podcast Publisher w wersjach do 4.5.4. Osoba atakująca bez logowania może wstrzyknąć złośliwy skrypt do strony, który wykona się w przeglądarce ofiary.
- CVE-2026-13001Krytyczne
Wtyczka Podlove Podcast Publisher dla WordPressa jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji 'podlove_handle_cache_files' we wszystkich wersjach do 4.5.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-75966Średnie
Podatność na Stored Cross-Site Scripting (XSS) w wtyczce Podlove Podcast Publisher dla WordPressa, we wszystkich wersjach do 4.5.5 włącznie, przez parametr 'episode_contributor[..][..][comment]', z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Zalogowani atakujący z dostępem na poziomie contributora i wyżej mogą wstrzyknąć skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2026-16099Wysokie
Wtyczka Podlove Podcast Publisher dla WordPressa do wersji 4.5.3 włącznie zawiera podatność na dowolne usuwanie plików. Uwierzytelnieni atakujący z uprawnieniami Contributor mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-13729Średnie
Wtyczka Podlove Podcast Publisher dla WordPressa przed wersją 4.5.3 nie sprawdza nonce w niektórych akcjach administracyjnych tworzenia i usuwania. Atakujący mogą tworzyć fałszywe rekordy lub usuwać prawidłowe za pomocą sfałszowanego żądania (CSRF), gdy zalogowany administrator zostanie nakłoniony do odwiedzenia spreparowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Podlove Podcast Publisher plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Auphonic Webhook in all versions up to, and including, 4.5.6 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injection is triggered by submitting a request to the Auphonic webhook endpoint with any POST body where the status_string field is not the literal string 'Done', causing the full raw POST superglobal to be stored in the plugin log before any authentication key validation is performed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS