CVE-2026-97328

WysokieCVSS 7.5

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress WebP Express przed wersją 0.25.16 nie escapuje wartości, które jej wbudowany parser HTML ponownie emituje do atrybutów elementów, gdy włączony jest nie-domyślny tryb dostarczania obrazów. Umożliwia to nieuwierzytelnionym użytkownikom przesłanie treści, która jest zapisywana, a następnie wykonywana jako Cross-Site Scripting w przeglądarce każdego użytkownika przeglądającego dotkniętą stronę, w tym administratorów.

Ocena ryzyka

Atakujący może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora lub innych odwiedzających, co może prowadzić do przejęcia sesji lub konta. Ryzyko dotyczy witryn z włączonym nie-domyślnym trybem dostarczania obrazów.

Rekomendacja

Zaktualizuj wtyczkę WebP Express do wersji 0.25.16 lub nowszej. Do czasu aktualizacji rozważ wyłączenie nie-domyślnego trybu dostarczania obrazów.

Inne podatności w WebP Express

CVE-2025-11379Średnie
Wtyczka WebP Express dla WordPressa jest podatna na ujawnienie informacji poprzez pliki konfiguracyjne we wszystkich wersjach do 0.25.9 włącznie. Wtyczka nie randomizuje prawidłowo nazwy pliku konfiguracyjnego, aby uniemożliwić bezpośredni dostęp na NGINX, co umożliwia nieuwierzytelnionym atakującym wyodrębnienie danych konfiguracyjnych.

Oryginalny opis (angielski, źródło NVD)

The WebP Express WordPress plugin before 0.25.16 does not escape values that its bundled HTML parser re-emits into element attributes when a non-default image delivery mode is enabled, allowing unauthenticated users to submit content that is stored and later executed as Cross-Site Scripting in the browser of any user viewing an affected page, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS