CVE-2026-96895

ŚrednieCVSS 6.8

Opublikowano: 27/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 27/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka WP YouTube Lyte dla WordPressa przed wersją 1.7.31 nie escapuje niektórych atrybutów bloków osadzania YouTube przed wyświetleniem ich w atrybucie HTML podczas renderowania bloku, co może pozwolić użytkownikom z rolą co najmniej współautora na przeprowadzanie ataków Stored Cross-Site Scripting.

Ocena ryzyka

Ataki XSS mogą prowadzić do przejęcia sesji administratora, kradzieży danych lub modyfikacji treści strony.

Rekomendacja

Zaleca się aktualizację wtyczki WP YouTube Lyte do wersji 1.7.31 lub nowszej oraz ograniczenie uprawnień użytkowników z rolą współautora.

Inne podatności w WP YouTube Lyte

CVE-2025-66062Niskie
Wtyczka WP YouTube Lyte autorstwa Franka Goossensa do wersji 1.7.28 włącznie zawiera podatność na otwarte przekierowanie (Open Redirect), która umożliwia ataki phishingowe. Luka występuje w mechanizmie przekierowań URL.

Oryginalny opis (angielski, źródło NVD)

The WP YouTube Lyte WordPress plugin before 1.7.31 does not escape some attributes of YouTube embed blocks before outputting them in an HTML attribute when rendering the block, which could allow users with a role as low as contributor to perform Stored Cross-Site Scripting attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS