CVE-2026-97227

ŚrednieCVSS 5.9

Opublikowano: 27/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 27/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka NextScripts: Social Networks Auto-Poster dla WordPressa przed wersją 4.4.8 nie przeprowadza kontroli uprawnień ani własności w kilku akcjach AJAX, opierając się wyłącznie na nonce, co pozwala użytkownikom, którym administrator przyznał dostęp do funkcji publikowania, na eksport skonfigurowanych poświadczeń kont społecznościowych, usuwanie dowolnych wpisów i resetowanie konfiguracji wtyczki.

Ocena ryzyka

Może to prowadzić do wycieku poufnych danych uwierzytelniających, utraty treści i zakłócenia działania wtyczki.

Rekomendacja

Zaleca się aktualizację wtyczki do wersji 4.4.8 lub nowszej oraz przegląd uprawnień użytkowników mających dostęp do funkcji publikowania.

Inne podatności w NextScripts: Social Networks Auto-Poster

CVE-2026-16570Wysokie
Wtyczka NextScripts: Social Networks Auto-Poster dla WordPressa przed wersją 4.4.8 nie escapuje niektórych parametrów z ciągu zapytania, które odzwierciedla na jednej ze swoich stron administracyjnych, co pozwala atakującym na przeprowadzenie ataków Reflected Cross-Site Scripting przeciwko zalogowanym użytkownikom, takim jak administratorzy, którzy zostaną nakłonieni do otwarcia spreparowanego linku.

Oryginalny opis (angielski, źródło NVD)

The NextScripts: Social Networks Auto-Poster WordPress plugin before 4.4.8 does not perform capability or ownership checks on several of its AJAX actions, relying on a nonce alone, allowing users an administrator has granted access to its posting features to export the site's configured social account credentials, delete arbitrary posts and reset the NextScripts: Social Networks Auto-Poster WordPress plugin before 4.4.8's configuration.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS