CVE-2026-106469

ŚrednieCVSS 6.8

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Gutenverse Form przed wersją 3.0.11 nie sanityzuje znaczników ikon SVG przechowywanych w blokach formularzy przed ich zdekodowaniem i wstawieniem do strony w przeglądarce. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami współtwórcy i wyższymi zapisanie złośliwego SVG, który wykonuje JavaScript w sesji każdego użytkownika przeglądającego lub podglądającego dotknięty formularz, np. administratora sprawdzającego oczekujący wpis.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w sesji administratora, co może prowadzić do przejęcia konta, kradzieży danych lub modyfikacji witryny. Ryzyko jest wysokie ze względu na możliwość eskalacji uprawnień.

Rekomendacja

Zaktualizuj wtyczkę Gutenverse Form do wersji 3.0.11 lub nowszej. Sprawdź, czy w formularzach nie ma złośliwych ikon SVG.

Inne podatności w Gutenverse Form WordPress plugin

CVE-2025-66079Średnie
Wtyczka Gutenverse Form dla WordPress (wersje do 2.2.0 włącznie) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.

Oryginalny opis (angielski, źródło NVD)

The Gutenverse Form WordPress plugin before 3.0.11 does not sanitize SVG icon markup stored in its form blocks before it is decoded and inserted into the page in the browser, allowing authenticated users with Contributor-level access and above to store malicious SVG that executes JavaScript in the session of any user who views or previews the affected form, such as an administrator reviewing a pending post.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS