CVE-2026-93883
ŚrednieCVSS 6.4Streszczenie
Wtyczka Advanced Classifieds & Directory Pro dla WordPressa do wersji 3.4.4 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'phone' z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie custom mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Luka jest wykorzystywalna tylko na stronach, gdzie włączone jest ustawienie 'Force Bootstrap' i widget 'ACADP Listing Address' jest umieszczony na pasku bocznym wyświetlanym na stronach pojedynczych ogłoszeń; oba warunki nie są domyślne.
Ocena ryzyka
Organizacja narażona jest na wstrzyknięcie złośliwych skryptów, które mogą wpływać na użytkowników odwiedzających strony ogłoszeń, potencjalnie prowadząc do kradzieży danych lub phishingu.
Rekomendacja
Zaleca się aktualizację wtyczki Advanced Classifieds & Directory Pro do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia użytkowników i monitorować treści wprowadzane przez użytkowników z dostępem custom.
Inne podatności w Advanced Classifieds & Directory Pro
Zobacz wszystkie- CVE-2026-19074Średnie
Wtyczka Advanced Classifieds & Directory Pro przed wersją 3.4.3 (<= 3.4.2) jest podatna na nieuwierzytelnione ujawnienie wrażliwych informacji poprzez akcję AJAX `acadp_public_custom_fields_listings`.
- CVE-2025-68580Średnie
Podatność CSRF w wtyczce Advanced Classifieds & Directory Pro do wersji 3.2.9. Umożliwia atakującemu wykonanie nieautoryzowanych działań w kontekście zalogowanego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The Advanced Classifieds & Directory Pro plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'phone' parameter in all versions up to, and including, 3.4.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability is only exploitable on sites where the 'Force Bootstrap' miscellaneous setting (acadp_misc_settings['force_bootstrap']) is enabled and the 'ACADP Listing Address' widget is placed on a sidebar displayed on single listing pages; both conditions are non-default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS