CVE-2026-96564
WysokieCVSS 7.2Streszczenie
Wtyczka SEOPress dla WordPressa jest podatna na przechowywane ataki XSS przez wyświetlaną nazwę autora w wersjach do 10.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga skonfigurowania wymiaru niestandardowego 'Track Authors' w ustawieniach Google Analytics 4 lub Matomo oraz możliwości publikowania treści przez atakującego.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub dalszych ataków. Atak może być przeprowadzony przez każdego, kto może publikować treści na stronie.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki SEOPress do najnowszej wersji z poprawką. Należy również rozważyć wyłączenie funkcji 'Track Authors' lub wzmocnienie walidacji nazw autorów.
Inne podatności w SEOPress
Zobacz wszystkie- CVE-2026-101357Średnie
Wtyczka SEOPress dla WordPressa jest podatna na przechowywany XSS we wszystkich wersjach do 10.2 włącznie, poprzez parametr 'seopress_google_analytics_matomo_id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-85305Średnie
Wtyczka SEOPress do wersji 10.1 ma podatność Server-Side Request Forgery (SSRF), która umożliwia atakującemu wysyłanie żądań z serwera.
Oryginalny opis (angielski, źródło NVD)
The SEOPress – AI SEO Plugin & On-site SEO plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Author Display Name in all versions up to, and including, 10.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the 'Track Authors' custom dimension to be configured in the plugin's Google Analytics 4 or Matomo settings, and the attacker must be able to publish public singular content (e.g., via bbPress forum topics) so that the injected display name is rendered in the tracking script.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS