CVE-2026-96899
Niskie ryzyko· EPSS 4%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Optima Express IDX dla WordPressa przed wersją 8.7.6 nie neutralizuje prawidłowo wartości skryptu przesłanej przez jeden z jej endpointów REST przed zapisaniem i wyświetleniem jej w nagłówku dokumentu podczas renderowania wpisu, co pozwala użytkownikom z rolą co najmniej autora na przeprowadzanie ataków Stored Cross-Site Scripting.
Ocena ryzyka
Ataki XSS mogą prowadzić do przejęcia sesji administratora, kradzieży danych lub modyfikacji treści strony.
Rekomendacja
Zaleca się aktualizację wtyczki Optima Express IDX do wersji 8.7.6 lub nowszej oraz ograniczenie uprawnień użytkowników z rolą autora.
Inne podatności w Optima Express IDX
Zobacz wszystkie- CVE-2026-96897Niskie ryzyko· EPSS 3%
Wtyczka Optima Express IDX dla WordPressa przed wersją 8.7.6 nie przeprowadza żadnej kontroli autoryzacji na jednej z akcji AJAX dostępnej dla niezalogowanych użytkowników, co pozwala nieuwierzytelnionym atakującym na wymuszenie utworzenia konta o stałej roli autora oraz na wielokrotną rotację hasła aplikacyjnego na dowolnej podłączonej instalacji.
- CVE-2026-93901Wysokie
Wtyczka Optima Express IDX dla WordPressa (wersje do 8.7.5 włącznie) jest podatna na eskalację uprawnień. Funkcja provisionBlogCredentials() jest osiągalna przez akcję AJAX wp_ajax_nopriv_ihf_clear_cache bez sprawdzania uprawnień, nonce ani własności, i bezwarunkowo ustawia rolę 'author' dla konta o loginie 'optima-express'. Nieuwierzytelniony atakujący może zarejestrować konto o tej nazwie (przy otwartej rejestracji) i uzyskać uprawnienia autora.
Oryginalny opis (angielski, źródło NVD)
The Optima Express IDX WordPress plugin before 8.7.6 does not properly neutralise a script value submitted through one of its REST endpoints before storing it and echoing it into the document head when the post is rendered, allowing users with a role as low as author to perform Stored Cross-Site Scripting attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS