CVE-2026-96563
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'stm_f_s' we wszystkich wersjach do 1.4.123 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego odwiedzającego. Może to prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę Motors do wersji nowszej niż 1.4.123, gdy tylko będzie dostępna, oraz rozważ ograniczenie możliwości rejestracji subskrybentów.
Inne podatności w Motors
Zobacz wszystkie- CVE-2026-54828Wysokie
Wersje Motors do 1.4.109 mają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp.
- CVE-2026-54812Krytyczne
Podatność SQL Injection w wtyczce Motors (motors-car-dealership-classified-listings) firmy StylemixThemes umożliwia atakującemu wykonanie ślepego wstrzyknięcia SQL. Problem dotyczy wersji od n/a do 1.4.109.
- CVE-2026-93950Wysokie
Wtyczka Motors firmy StylemixThemes jest podatna na brak autoryzacji w wersjach do 1.4.108 włącznie, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-104399Średnie
Wtyczka Motors od StylemixThemes w wersjach do 1.4.124 włącznie zawiera podatność polegającą na umieszczeniu wrażliwych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych.
- CVE-2026-91023Niskie
Wtyczka Motors dla WordPressa przed wersją 1.4.124 nie weryfikuje poprawnie, czy użytkownik jest uprawniony do modyfikacji ogłoszenia przed przetworzeniem jednej z akcji zarządzania ogłoszeniami. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym ustawianie metadanych na postach, których nie posiadają, w tym nadpisywanie cen produktów. Wykorzystanie jest możliwe tylko wtedy, gdy WooCommerce jest aktywny i opcja płatnych wyróżnionych ogłoszeń jest włączona, co nie jest domyślną konfiguracją.
- CVE-2026-91022Średnie
Wtyczka WordPress Motors w wersji przed 1.4.124 nie sanityzuje i nie escapuje ustawienia odznaki ogłoszenia przed wyświetleniem go wewnątrz atrybutu HTML. Umożliwia to użytkownikom z niestandardową, przypisaną przez administratora rolą zarządzania ogłoszeniami wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy ogłoszenie jest wyświetlane przez dowolnego odwiedzającego, w tym administratora.
- CVE-2026-91016Średnie
Wtyczka Motors w wersji przed 1.4.121 nie weryfikuje uprawnień do wyświetlania nieopublikowanych ogłoszeń użytkownika. Umożliwia to nieuwierzytelnionym atakującym odczytanie szkiców, ogłoszeń oczekujących i prywatnych ogłoszeń samochodowych dowolnego autora — w tym tytułów, cen, adresów URL multimediów i notatek sprzedawcy — podając jedynie numeryczny identyfikator użytkownika.
- CVE-2026-66693Średnie
Podatność Broken Access Control z uprawnieniami subskrybenta w wtyczce Motors w wersjach 1.4.113 i starszych.
- CVE-2026-27433Średnie
Wtyczka Motors w wersjach do 5.6.80 zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może ominąć zabezpieczenia i uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2026-39515Średnie
Wersje silnika poniżej 1.4.107 mają problem z kontrolą dostępu dla subskrybentów, co może prowadzić do nieautoryzowanego dostępu do zasobów.
Oryginalny opis (angielski, źródło NVD)
The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'stm_f_s' parameter in all versions up to, and including, 1.4.123 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The nonce required by the stm_ajax_add_a_car AJAX handler is emitted in wp_footer on every page, making it accessible to any authenticated user and removing any practical barrier to exploitation at the Subscriber level.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS