CVE-2026-96667
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Real Estate Manager dla WordPressa jest podatna na trwały atak XSS przez parametr 'first_name' w wersjach do 7.3 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony. Zabezpieczenie reCAPTCHA można łatwo ominąć.
Ocena ryzyka
Ryzyko obejmuje wykonanie skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji. Atak jest możliwy bez uwierzytelnienia, a reCAPTCHA można pominąć.
Rekomendacja
Zaleca się aktualizację wtyczki Real Estate Manager do najnowszej wersji. Należy również poprawić walidację reCAPTCHA, aby nie można było jej pominąć.
Inne podatności w Real Estate Manager
Zobacz wszystkie- CVE-2026-93908Średnie
Wtyczka Real Estate Manager – Property Listing and Agent Management dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'before_price_text' w wersjach do 7.3 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie skryptów, które wykonają się przy dostępie do strony. Podatność jest dodatkowo wspierana przez brak sprawdzenia uprawnień, nonce lub własności na handlerze wp_ajax_rem_create_pro_ajax oraz przez zapis wartości przez update_post_meta, co omija filtry wp_kses.
- CVE-2025-58253Średnie
Wtyczka Real Estate Manager do WordPressa zawiera podatność na atak XSS oparty na DOM. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
The Real Estate Manager – Property Listing and Agent Management plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'first_name' parameter in all versions up to, and including, 7.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The reCAPTCHA check is trivially bypassed by omitting the g-recaptcha-response parameter entirely, since validation only runs when that parameter is present.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS