CVE-2026-96568

WysokieCVSS 7.2

Opublikowano: 25/09/2026(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 25/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Restaurant Menu and Food Ordering dla WordPressa (do wersji 2.4.14 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'phone_number' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, co prowadzi do kradzieży sesji, przekierowań lub innych ataków typu drive-by.

Rekomendacja

Zaktualizować wtyczkę Restaurant Menu and Food Ordering do wersji nowszej niż 2.4.14. Jeśli aktualizacja nie jest możliwa, wdrożyć dodatkową sanityzację danych wejściowych i escapowanie danych wyjściowych.

Inne podatności w Restaurant Menu and Food Ordering

CVE-2026-84044Średnie
Wtyczka WordPress Restaurant Menu and Food Ordering przed wersją 2.4.12 nie weryfikuje, czy powiadomienie o płatności PayPal rzeczywiście pochodzi od PayPal, co pozwala nieuwierzytelnionym atakującym sfałszować powiadomienie i oznaczyć własne zamówienie jako opłacone i zrealizowane bez dokonania płatności.

Oryginalny opis (angielski, źródło NVD)

The Restaurant Menu and Food Ordering plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'phone_number' parameter in all versions up to, and including, 2.4.14 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS