CVE-2026-94641
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka UsersWP dla WordPressa (do wersji 1.2.73) jest podatna na Reflected XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie odbity i wykonany w przeglądarce użytkownika.
Ocena ryzyka
Możliwe jest przejęcie sesji użytkownika, kradzież danych logowania lub wykonanie nieautoryzowanych działań w kontekście ofiary. W przypadku administratorów prowadzi to do przejęcia całej witryny.
Rekomendacja
Zaktualizuj wtyczkę UsersWP do wersji nowszej niż 1.2.73. Do czasu aktualizacji ogranicz dostęp do podatnych funkcji lub wyłącz wtyczkę.
Inne podatności w UsersWP
Zobacz wszystkie- CVE-2026-103086Średnie
Wtyczka UsersWP dla WordPressa do wersji 1.2.74 zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-86814Wysokie
Wtyczka UsersWP dla WordPressa przed wersją 1.5.10 nie weryfikuje, czy dostawca logowania społecznościowego potwierdził posiadanie adresu e-mail przed użyciem go do rozpoznania istniejącego konta, co pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik, w tym administrator, jeśli mogą potwierdzić jego adres e-mail przez własne konto u dostawcy.
- CVE-2026-19991Wysokie
Wtyczka UsersWP dla WordPressa (wersje do 1.2.70 włącznie) jest podatna na usuwanie dowolnych plików poprzez handler AJAX upload_file_remove(). Uwierzytelniony atakujący z poziomem Subscriber lub wyższym może usunąć dowolne pliki na serwerze, w tym wp-config.
- CVE-2026-18501Średnie
Wtyczka UsersWP – Front-end login form, User Registration, User Profile & Members Directory dla WordPressa w wersjach do 1.2.69 jest podatna na Stored Cross-Site Scripting (XSS) przez podstawianie zmiennych w widżecie Badge. Podatność wynika z niedostatecznej sanitizacji wejścia i braku escape'owania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-13492Wysokie
Wtyczka UsersWP dla WordPressa do wersji 1.2.65 włącznie zawiera podatność na arbitralne usuwanie plików. Wynika to z niewystarczającej walidacji pól plików w funkcji UsersWP_Validation::validate_fields() oraz braku kanonizacji ścieżki w handlerze AJAX UsersWP_Forms::upload_file_remove(), co pozwala na usunięcie dowolnych plików na serwerze.
- CVE-2025-67593Średnie
Wtyczka UsersWP (wersje do 1.2.48 włącznie) zawiera podatność na Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu wymuszenie wykonania niepożądanych działań przez administratora.
- CVE-2025-66072Średnie
Wtyczka UsersWP (userswp) w wersjach do 1.2.47 włącznie ma brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Stiofan UsersWP userswp allows Reflected XSS.This issue affects UsersWP: from n/a through 1.2.73.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS