CVE-2026-94421
ŚrednieCVSS 6.4Streszczenie
Wtyczka Church Admin dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'email' we wszystkich wersjach do 5.1.2 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym na wstrzyknięcie skryptów.
Ocena ryzyka
Atakujący mogą wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji z poprawkami. Należy również ograniczyć uprawnienia użytkowników i monitorować treści.
Inne podatności w Church Admin
Zobacz wszystkie- CVE-2026-66478Krytyczne
Wtyczka Church Admin w wersjach do 5.1.1 zawiera podatność na nieuwierzytelnione wstrzyknięcie SQL (SQL Injection). Osoba atakująca bez logowania może wysyłać specjalnie spreparowane zapytania, które mogą manipulować bazą danych.
- CVE-2026-61983Średnie
Wtyczka Church Admin dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 5.0.30 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Church Admin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'email' parameter in all versions up to, and including, 5.1.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS