CVE-2026-109370

ŚrednieCVSS 6.4

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka Document Embedder dla WordPressa jest podatna na przechowywany DOM-based XSS poprzez parametr 'content (post_content zawierający block JSON documentSource.doc)' w wersjach do 2.4.0 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Ładunek uruchamia się konkretnie po kliknięciu przycisku Download osadzonego dokumentu, co powoduje, że ścieżka AJAX de_track_download programowo tworzy anchor z href kontrolowanym przez atakującego i wywołuje .click() — warunek osiągany przez podanie docId=0, co powoduje, że can_read_document() zwraca false, omijając normalny przepływ pobierania.

Ocena ryzyka

Atakujący z uprawnieniami Contributor może wykonać dowolny JavaScript w przeglądarce użytkownika po kliknięciu przycisku pobierania, co może prowadzić do kradzieży sesji lub innych działań.

Rekomendacja

Zaktualizuj wtyczkę Document Embedder do wersji nowszej niż 2.4.0 i ogranicz uprawnienia Contributorów do czasu wdrożenia poprawki.

Inne podatności w Document Embedder WordPress plugin

CVE-2026-16567Średnie
Wtyczka Document Embedder dla WordPressa przed wersją 2.3.1 nie sprawdza statusu dokumentu przed wydaniem tokenu pobierania i strumieniowaniem pliku, co pozwala nieuwierzytelnionym atakującym na pobieranie dowolnych dokumentów, w tym prywatnych i wersji roboczych, poprzez enumerację identyfikatorów.

Oryginalny opis (angielski, źródło NVD)

The Document Embedder – let visitors read files without downloading plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via the 'content (post_content containing block JSON documentSource.doc)' parameter in all versions up to, and including, 2.4.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload is triggered specifically when the victim clicks the embedded document's Download button, which causes the de_track_download AJAX fallback path to programmatically create an anchor with the attacker-controlled href and call .click() — a condition reached because supplying docId=0 causes can_read_document() to return false, bypassing the normal download flow.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS