CVE-2026-9838

ŚrednieCVSS 6.1

Opublikowano: 10/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka ICS Calendar dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'htmltagtitle' we wszystkich wersjach do 12.0.9 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego skryptu webowego.

Ocena ryzyka

Atakujący może nakłonić administratora lub użytkownika do kliknięcia w spreparowany link, co prowadzi do wykonania złośliwego skryptu w kontekście sesji ofiary. Może to skutkować kradzieżą ciasteczek sesji, przejęciem konta lub modyfikacją treści strony.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę ICS Calendar do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność. Do czasu aktualizacji zaleca się tymczasowe wyłączenie wtyczki lub zastosowanie reguł Web Application Firewall (WAF) blokujących żądania z parametrem 'htmltagtitle'.

Inne podatności w ICS Calendar

CVE-2026-59516Wysokie
Wtyczka ICS Calendar dla WordPressa do wersji 12.1.1 zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane żądanie HTTP.

Oryginalny opis (angielski, źródło NVD)

The ICS Calendar plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'htmltagtitle' parameter in all versions up to, and including, 12.0.9 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. The vulnerability is reachable via the unauthenticated wp_ajax_nopriv_r34ics_ajax AJAX action, which accepts attacker-controlled js_args values merged over stored shortcode configuration without nonce verification, allowing the htmltagtitle key to bypass the normal shortcode allowlist check.