CVE-2026-107710

ŚrednieCVSS 6.4

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka Hustle dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'content[title]' w wersjach do 7.8.14.3 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie custom lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Wykorzystanie wymaga, aby administrator jawnie przyznał atakującemu uprawnienie 'Create and Update Modules' (hustle_create / hustle_edit_module) poprzez funkcję Settings → Permissions wtyczki; to delegowanie nie jest domyślnie włączone.

Ocena ryzyka

Atakujący z odpowiednimi uprawnieniami może wykonać dowolny JavaScript w przeglądarce użytkowników, co może prowadzić do kradzieży sesji lub działań w imieniu ofiary.

Rekomendacja

Zaktualizuj wtyczkę Hustle do wersji nowszej niż 7.8.14.3 i ogranicz przyznawanie uprawnień hustle_create/hustle_edit_module do niezbędnego minimum.

Inne podatności w Hustle WordPress plugin

CVE-2026-118169Średnie
Wtyczka Hustle – Email Marketing, Lead Generation, Optins, Popups dla WordPressa w wersjach do 7.8.14.3 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'content[cta_label]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie custom może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; domyślnie tylko Administratorzy mają uprawnienie hustle_edit_module, ale ekran uprawnień wtyczki pozwala delegować je niższym rolom, w tym Subscriber.

Oryginalny opis (angielski, źródło NVD)

The Hustle – Email Marketing, Lead Generation, Optins, Popups plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'content[title]' parameter in all versions up to, and including, 7.8.14.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that an administrator has explicitly granted the 'Create and Update Modules' (hustle_create / hustle_edit_module) capability to the attacker's role via the plugin's own Settings → Permissions feature; this delegation is not enabled by default.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS