CVE-2026-94665
ŚrednieCVSS 6.5Streszczenie
Wtyczka Classified Listing (classified-listing) od Mamunur Rashid zawiera podatność typu Stored Cross-site Scripting (XSS), wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Problem dotyczy wersji od n/a do 6.1.2 włącznie.
Ocena ryzyka
Atakujący może zapisać złośliwy skrypt, który zostanie wykonany w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę Classified Listing do wersji nowszej niż 6.1.2 lub zastosuj dostępne obejście, a także rozważ wdrożenie nagłówków CSP.
Inne podatności w Classified Listing
Zobacz wszystkie- CVE-2026-96351Wysokie
Podatność XSS w wtyczce Classified Listing w wersjach do 6.1.3, która może być wykorzystana bez uwierzytelnienia.
- CVE-2026-57355Średnie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność polegającą na złamaniu kontroli dostępu przez subskrybenta. Umożliwia to użytkownikom z rolą subskrybenta wykonywanie nieautoryzowanych operacji.
- CVE-2026-57344Wysokie
Wtyczka Classified Listing dla WordPressa w wersji 5.4.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Oznacza to, że atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-84217Średnie
Wtyczka Classified Listing (classified-listing) autorstwa Mamunur Rashid do wersji 6.1.3 ma brak autoryzacji, co pozwala na dostęp do funkcji nieprawidłowo ograniczonych przez listy kontroli dostępu (ACL).
- CVE-2026-16276Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień w akcji AJAX, która zwraca zagregowane sumy przychodów sklepu, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie dziennych danych przychodów normalnie zarezerwowanych dla administratorów i menedżerów raportów.
- CVE-2026-16274Niskie
Wtyczka WordPress 'Classified Listing' przed wersją 5.4.4 nie przeprowadza kontroli uprawnień ani własności w akcji AJAX, która zwraca treść posta, co pozwala użytkownikom z dostępem na poziomie współautora i wyższym na odczytywanie treści dowolnego posta, strony lub niestandardowego typu posta na stronie — w tym szkiców, oczekujących i prywatnych postów należących do innych użytkowników — niezależnie od własności.
- CVE-2026-14183Średnie
Podatność we wtyczce Classified Listing do WordPressa (przed wersją 5.3.9). Umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta odczytanie szczegółów potwierdzenia płatności zamówień innych użytkowników, ponieważ wtyczka nie weryfikuje, czy zamówienie należy do żądającego użytkownika.
- CVE-2026-42658Wysokie
W wersjach Classified Listing do 5.3.8 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-42651Średnie
Wersje Classified Listing do 5.3.9 mają lukę w kontroli dostępu, która może umożliwić nieautoryzowanym subskrybentom dostęp do zasobów.
- CVE-2026-42640Średnie
Wersje Classified Listing do 5.3.8 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Mamunur Rashid Classified Listing classified-listing allows Stored XSS.This issue affects Classified Listing: from n/a through 6.1.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS