CVE-2026-97338
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Download Manager dla WordPressa jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez Display Name we wszystkich wersjach do 3.3.70 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Subscriber może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to obecności shortcode'u [wpdm_edit_profile] na stronie front-endu dostępnej dla użytkowników na poziomie Subscriber, którzy mogą następnie przesłać wielokrotnie zakodowany ładunek poprzez pole display name, aby obejść sanityzację.
Ocena ryzyka
Atakujący z uprawnieniami Subscriber może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach innych użytkowników, prowadząc do kradzieży sesji lub danych. Może to naruszyć bezpieczeństwo kont i danych użytkowników witryny.
Rekomendacja
Zaktualizuj wtyczkę Download Manager do wersji nowszej niż 3.3.70. Usuń lub zabezpiecz shortcode [wpdm_edit_profile] na stronach dostępnych dla Subscriberów i wprowadź dodatkową walidację danych wejściowych.
Inne podatności w Download Manager
Zobacz wszystkie- CVE-2026-94405Średnie
Wtyczka Download Manager (wersje do 3.3.71) ma podatność Authorization Bypass Through User-Controlled Key, umożliwiającą odzyskanie osadzonych wrażliwych danych. Atakujący może wykorzystać kontrolowany przez użytkownika klucz do ominięcia autoryzacji.
- CVE-2026-86609Wysokie
Wtyczka Download Manager przed wersją 7.5.6 nie sanityzuje ani nie escapuje danych przesyłanych przez formularz subskrypcji pobierania zablokowanego adresem e-mail przed wyświetleniem ich z powrotem na stronie administracyjnej. Może to umożliwić nieuwierzytelnionym atakującym przeprowadzanie ataków Stored Cross-Site Scripting przeciwko administratorom. Dotyczy to wyłącznie komercyjnej edycji Pro; darmowa wtyczka Download Manager przed wersją 7.5.6 opublikowana pod tym samym slugiem nie zawiera tej funkcji.
- CVE-2026-92714Średnie
Wtyczka Download Manager dla WordPressa jest podatna na Insecure Direct Object Reference w wersjach do 3.3.68 włącznie przez funkcję duplicate() podpiętą do admin_init. Powodem jest sprawdzanie tylko ogólnej zdolności 'edit_posts' i statycznego nonce, bez autoryzacji na poziomie obiektu. Uwierzytelnieni atakujący z dostępem na poziomie Author i wyższym mogą duplikować dowolne pakiety Download Manager, w tym te należące do administratorów, kopiując metadane pakietu, takie jak chronione pliki, ograniczenia ról i ustawienia haseł, do własnego klonu, który mogą edytować i uzyskać dostęp do chronionych plików.
- CVE-2026-16685Średnie
Wtyczka Download Manager dla WordPressa do wersji 3.3.66 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez atrybut 'icon' w shortcode. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-14292Średnie
Wtyczka Download Manager dla WordPressa przed wersją 3.3.66 nieprawidłowo koduje tytuł pakietu przed wyświetleniem go w szablonach pakietów. Użytkownicy z rolą Autora lub wyższą mogą przechowywać tytuł, który powoduje wykonanie dowolnego kodu JavaScript w przeglądarce każdego użytkownika, w tym nieuwierzytelnionych gości, którzy wyświetlą stronę z pakietem.
- CVE-2026-14343Średnie
Wtyczka Download Manager dla WordPressa do wersji 3.3.61 włącznie zawiera podatność na trwałe ataki XSS przez atrybuty 'note_before' i 'note_after' w shortcode'ach. Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-13733Średnie
Wtyczka Download Manager dla WordPressa jest podatna na trwałe ataki XSS przez atrybut shortcode 'no_data_msg' we wszystkich wersjach do 3.3.60 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i ucieczki wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na wstrzyknięcie dowolnych skryptów.
- CVE-2026-5357Średnie
Wtyczka Download Manager dla WordPress do wersji 3.3.52 zawiera podatność na Stored XSS przez atrybut 'sid' shortcode'u 'wpdm_members'. Brak odpowiedniej sanityzacji i eskejpowania danych wejściowych umożliwia atakującym z dostępem na poziomie współautora wstrzyknięcie skryptów.
- CVE-2026-39676Średnie
Wtyczka Download Manager dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.3.52 włącznie.
- CVE-2026-39615Średnie
Wtyczka Download Manager dla WordPressa zawiera podatność na Stored XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Download Manager plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Display Name in all versions up to, and including, 3.3.70 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the [wpdm_edit_profile] shortcode to be present on a front-end page accessible to Subscriber-level users, who can then submit a multiply entity-encoded payload via the display name field to bypass sanitization.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS