CVE-2026-103996
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka If-So Dynamic Content – Elementor & All Page Builders Personalization dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'url' we wszystkich wersjach do 1.10.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej contributor może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Wstrzyknięty skrypt wykonuje się konkretnie w sesji przeglądarki administratora, ponieważ podatna gałąź kodu renderuje się tylko wtedy, gdy administrator podgląda lub otwiera wpis zawierający spreparowany shortcode.
Ocena ryzyka
Atakujący z kontem contributor może przygotować wpis, który po podglądzie lub otwarciu przez administratora wykona złośliwy skrypt w jego sesji, co może prowadzić do przejęcia konta administratora. Ryzyko jest wysokie, ponieważ ofiarą jest użytkownik o najwyższych uprawnieniach.
Rekomendacja
Zaktualizuj wtyczkę If-So Dynamic Content do wersji nowszej niż 1.10.2, gdy tylko będzie dostępna, i ogranicz uprawnienia contributor do zaufanych użytkowników. Do czasu aktualizacji unikaj podglądania wpisów tworzonych przez użytkowników o niskich uprawnieniach.
Inne podatności w If-So Dynamic Content
Zobacz wszystkie- CVE-2026-87973Niskie
Wtyczka WordPress If-So Dynamic Content przed wersją 1.10.2 nie sanityzuje nazwy konwersji przed zapisaniem, ani nie escapuje jej podczas renderowania strony analitycznej, co pozwala użytkownikom z uprawnieniami edytora na zapisanie JavaScriptu, który wykona się w sesji użytkownika o wyższych uprawnieniach przeglądającego tę stronę.
- CVE-2026-87971Wysokie
Wtyczka WordPress If-So Dynamic Content przed wersją 1.10.2 nie waliduje schematu URL wartości dostarczonej w żądaniu przed odzwierciedleniem jej w linku na stronie administracyjnej, co pozwala atakującym na wykonanie dowolnego kodu JavaScript w przeglądarce zalogowanego użytkownika, który otworzy spreparowany link.
Oryginalny opis (angielski, źródło NVD)
The If-So Dynamic Content – Elementor & All Page Builders Personalization plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'url' parameter in all versions up to, and including, 1.10.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected script executes specifically in the administrator's browser session, as the vulnerable branch only renders when an administrator previews or opens the post containing the crafted shortcode.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS