CVE-2026-107758
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Colibri Page Builder dla WordPressa (wersje do 1.0.390) jest podatna na przechowywane XSS poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Ładunek przechodzi przez rozszerzoną listę dozwolonych komentarzy, a wykonanie następuje, gdy colibri.js odczytuje zapisaną wartość data-target i przekazuje ją do jQuery().
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę, co może prowadzić do kradzieży sesji lub innych działań w kontekście przeglądarki ofiary.
Rekomendacja
Zaktualizuj wtyczkę Colibri Page Builder do wersji nowszej niż 1.0.390.
Inne podatności w Colibri Page Builder
Zobacz wszystkie- CVE-2025-11376Średnie
Wtyczka Colibri Page Builder dla WordPressa jest podatna na trwały atak XSS (Stored Cross-Site Scripting) poprzez shortcode 'colibri_loop' we wszystkich wersjach do 1.0.335 włącznie. Problem wynika z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.
- CVE-2025-59593Średnie
Wtyczka Colibri Page Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Luka ta występuje w wersjach od nieznanej do mniejszej niż 1.0.334.
- CVE-2025-9560Średnie
Wtyczka Colibri Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez shortcode colibri_newsletter we wszystkich wersjach do 1.0.334 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Colibri Page Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'comment' parameter in all versions up to, and including, 1.0.390 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected payload survives storage because the widened comment allow-list permits SVG elements with arbitrary data-* attributes; execution occurs because colibri.js, enqueued globally on every front-end page, reads the stored data-target value via jQuery.data() — which HTML-entity-decodes it — and passes the resulting string directly into jQuery(), which parses a leading '<' as HTML and fires the embedded event handler.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS