CVE-2026-96648
ŚrednieCVSS 6.4Streszczenie
Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez wartość 'data' komórki tabeli w akcji updateRows we wszystkich wersjach do 1.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Wykorzystanie przez subskrybentów jest możliwe tylko wtedy, gdy administrator dodał ich rolę do ustawienia 'access_roles' wtyczki, co jest udokumentowaną i jawnie wspieraną funkcją.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwych skryptów na stronach z tabelami, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania. Atak może dotknąć wszystkich odwiedzających strony z zainfekowanymi tabelami, zwłaszcza jeśli administrator przyznał subskrybentom dostęp do edycji.
Rekomendacja
Zaleca się aktualizację wtyczki Data Tables Generator by Supsystic do najnowszej wersji z poprawką. Należy również przeglądać i ograniczać ustawienie 'access_roles', aby nie przyznawać niepotrzebnych uprawnień subskrybentom.
Inne podatności w Data Tables Generator by Supsystic
Zobacz wszystkie- CVE-2026-14877Średnie
Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'id' we wszystkich wersjach do 1.12.03 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
- CVE-2025-12089Średnie
Wtyczka Data Tables Generator by Supsystic dla WordPressa do wersji 1.10.45 jest podatna na arbitralne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji cleanCache(). Umożliwia to uwierzytelnionym atakującym z dostępem administratora lub wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The Data Tables Generator by Supsystic plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Table Cell 'data' Value via updateRows Action in all versions up to, and including, 1.15.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is only exploitable by Subscriber-level users when an administrator has added their role to the plugin's 'access_roles' setting, which is a documented and explicitly supported plugin feature that grants lower-privileged users access to the dtgs_nonce required to reach the vulnerable updateRows action handler.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS