CVE-2026-94415
WysokieCVSS 7.1Streszczenie
Motyw Betheme dla WordPressa (do wersji 28.5.8) jest podatny na Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
Ocena ryzyka
Możliwe jest przejęcie sesji użytkownika, kradzież danych lub wykonanie nieautoryzowanych operacji. W przypadku administratorów prowadzi to do przejęcia całej witryny.
Rekomendacja
Zaktualizuj motyw Betheme do wersji nowszej niż 28.5.8. Do czasu aktualizacji ogranicz dostęp do podatnych funkcji lub zastosuj reguły WAF.
Inne podatności w Betheme
Zobacz wszystkie- CVE-2026-65548Krytyczne
Zdalne wykonanie kodu (RCE) z uprawnieniami kontrybutora w motywie Betheme w wersjach do 28.4.2.
- CVE-2026-6178Średnie
Motyw Betheme dla WordPressa jest podatny na Stored Cross-Site Scripting przez shortcode 'icon_box_2' we wszystkich wersjach do 28.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia dla atrybutów dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2025-63075Średnie
Motyw Betheme od muffingroup (wersje do 28.2) ma podatność na DOM-Based XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2025-9371Średnie
Motyw Betheme dla WordPress jest podatny na przechowywane Cross-Site Scripting poprzez parametr 'page_title' we wszystkich wersjach do 28.1.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w breadcrumbach motywu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Muffingroup Betheme betheme allows Reflected XSS.This issue affects Betheme: from n/a through 28.5.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS