CVE-2026-97336
WysokieCVSS 7.2Streszczenie
Wtyczka CMB2 dla WordPressa jest podatna na Stored Cross-Site Scripting przez typ pola 'file_list' we wszystkich wersjach do 2.13.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia. Atak jest możliwy tylko wtedy, gdy integrująca wtyczka lub motyw zarejestruje pole file_list w publicznie dostępnym formularzu lub meta boxie użytkownika.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę CMB2 do najnowszej wersji z poprawką oraz sprawdź, czy integrujące wtyczki/motywy nie używają pola file_list w publicznych formularzach.
Inne podatności w CMB2
Zobacz wszystkie- CVE-2026-102772Wysokie
Wtyczka CMB2 dla WordPressa w wersjach do 2.13.1 włącznie jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr '<textarea_code field id>' (np. kl_code, kl_post_code) z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Ścieżka zapisu po stronie frontendu wymaga jedynie nonce'a CMB2 box, który jest emitowany do wszystkich odwiedzających, w tym niezalogowanych gości, poprzez proste żądanie GET, co czyni atak trywialnie osiągalnym bez poświadczeń na stronach z publicznym formularzem CMB2 zapisującym pole textarea_code.
- CVE-2026-97270Średnie
Podatność na Cross Site Scripting (XSS) w wtyczce CMB2 w wersjach do 2.13.0, wykorzystywana przez subskrybenta.
Oryginalny opis (angielski, źródło NVD)
The CMB2 plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'file_list' Field Type in all versions up to, and including, 2.13.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is only exploitable when an integrating plugin or theme registers a file_list field on a publicly accessible front-end form or a user meta box, as CMB2 is a developer library and does not expose these fields by default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS