CVE-2026-93908
ŚrednieCVSS 6.4Streszczenie
Wtyczka Real Estate Manager – Property Listing and Agent Management dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'before_price_text' w wersjach do 7.3 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie skryptów, które wykonają się przy dostępie do strony. Podatność jest dodatkowo wspierana przez brak sprawdzenia uprawnień, nonce lub własności na handlerze wp_ajax_rem_create_pro_ajax oraz przez zapis wartości przez update_post_meta, co omija filtry wp_kses.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Real Estate Manager do najnowszej wersji, która zawiera poprawkę. Dodatkowo ogranicz uprawnienia użytkowników i regularnie audytuj treści pod kątem złośliwych skryptów.
Inne podatności w Real Estate Manager
Zobacz wszystkie- CVE-2026-96667Wysokie
Wtyczka Real Estate Manager dla WordPressa jest podatna na trwały atak XSS przez parametr 'first_name' w wersjach do 7.3 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony. Zabezpieczenie reCAPTCHA można łatwo ominąć.
- CVE-2025-58253Średnie
Wtyczka Real Estate Manager do WordPressa zawiera podatność na atak XSS oparty na DOM. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
The Real Estate Manager – Property Listing and Agent Management plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'before_price_text' parameter in all versions up to, and including, 7.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The vulnerability is further enabled by the absence of any capability, nonce, or ownership check on the wp_ajax_rem_create_pro_ajax handler, and because the value is persisted via update_post_meta rather than post_content, the wp_kses filtering tied to the unfiltered_html capability does not apply.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS