CVE-2026-96682
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Presto Player dla WordPressa jest podatna na trwały atak XSS przez treść komentarza z tagiem <presto-player> w wersjach do 4.5.1 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony, ale wymaga wstępnego zatwierdzenia komentarza.
Ocena ryzyka
Ryzyko obejmuje wykonanie skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji. Domyślne ustawienia WordPressa mogą automatycznie zatwierdzać kolejne komentarze od tego samego autora.
Rekomendacja
Zaleca się aktualizację wtyczki Presto Player do najnowszej wersji. Administratorzy powinni również rozważyć wyłączenie automatycznego zatwierdzania komentarzy.
Inne podatności w Presto Player
Zobacz wszystkie- CVE-2026-109893Średnie
Wtyczka WordPress 'Presto Player' (wersje do 4.5.3) ma podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.
- CVE-2026-102914Średnie
Wtyczka Presto Player (presto-player) do wersji 4.5.2 zawiera podatność na przechowywany atak XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony.
Oryginalny opis (angielski, źródło NVD)
The Presto Player plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via <presto-player> Tag in all versions up to, and including, 4.5.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires an initial comment approval, though WordPress default settings will auto-approve all subsequent comments from the same author, allowing a patient unauthenticated attacker to land the payload without further admin intervention.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS