CVE-2026-95817

WysokieCVSS 7.2

Opublikowano: 02/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka DoFollow Case by Case dla WordPressa jest podatna na Stored Cross-Site Scripting przez treść komentarza we wszystkich wersjach do 3.6.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Moderacja komentarzy opóźnia, ale nie zapobiega eksploatacji — po zatwierdzeniu komentarza przez administratora, złośliwy payload wykonuje się w przeglądarce każdego odwiedzającego.

Ocena ryzyka

Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaktualizuj wtyczkę DoFollow Case by Case do najnowszej wersji z poprawką oraz rozważ zaostrzenie polityki moderacji komentarzy.

Inne podatności w DoFollow Case by Case

CVE-2025-62102Średnie
Wtyczka WordPress DoFollow Case by Case w wersjach do 3.5.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF). Brak prawidłowej walidacji żądań pozwala oszukać administratora i wykonać nieautoryzowane akcje w jego imieniu.

Oryginalny opis (angielski, źródło NVD)

The DoFollow Case by Case plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content in all versions up to, and including, 3.6.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Comment moderation delays but does not prevent exploitation — once an administrator approves the visually innocuous comment, the stored payload executes in the browser of every subsequent visitor to the affected post.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS