CVE-2026-109234

WysokieCVSS 7.2

Opublikowano: 31/10/2026(UTC)Zaktualizowano: 01/11/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

Wtyczka Meow Lightbox dla WordPressa w wersjach do 5.6.4 włącznie jest podatna na przechowywany XSS poprzez parametr 'post_content (bbPress reply body)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.

Ocena ryzyka

Atakujący może wykonać dowolny JavaScript w kontekście przeglądarki użytkowników przeglądających zainfekowaną stronę, co może prowadzić do kradzieży sesji lub danych. Exploitacja wymaga jednak włączenia przez administratora Output Buffering, silnika HtmlDomParser i Aggressive Resolve oraz powierzchni zapisu HTML, co ogranicza zakres podatności.

Rekomendacja

Zaktualizuj wtyczkę Meow Lightbox do wersji nowszej niż 5.6.4. Dodatkowo przejrzyj konfigurację wtyczki i wyłącz niepotrzebne opcje Output Buffering, HtmlDomParser i Aggressive Resolve, jeśli nie są wymagane.

Inne podatności w Meow Lightbox

CVE-2026-107756Średnie
Wtyczka Meow Lightbox dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'display_name + comment' we wszystkich wersjach do 5.6.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony. Ta podatność jest wykorzystywana tylko, gdy opcja Output Buffering jest włączona (domyślnie wyłączona) i wymaga, aby atakujący miał co najmniej jeden wcześniej zatwierdzony komentarz na stronie, aby kolejne komentarze były automatycznie zatwierdzane przez WordPress.

Oryginalny opis (angielski, źródło NVD)

The Meow Lightbox plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'post_content (bbPress reply body)' parameter in all versions up to, and including, 5.6.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the administrator to have enabled Output Buffering, the HtmlDomParser engine, and Aggressive Resolve, as well as a stored-HTML submission surface (such as bbPress anonymous replies) whose kses allow-list preserves img attributes; given these preconditions, a one-shot unauthenticated submission can execute arbitrary JavaScript in the context of any user who views the affected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS