CVE-2026-110506
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Page Builder by SiteOrigin przed wersją 2.38.0 nie sanityzuje ani nie escapuje właściwości widżetu przed zapisaniem i wypisaniem jej w interfejsie page buildera. Użytkownicy z rolą contributor i wyższą mogą przeprowadzać ataki Stored Cross-Site Scripting wymierzone w użytkowników o wyższych uprawnieniach otwierających dotknięty post w edytorze.
Ocena ryzyka
Złośliwy skrypt może wykonać się w przeglądarce administratora lub innych uprzywilejowanych użytkowników, umożliwiając przejęcie sesji lub wykonanie działań w ich imieniu.
Rekomendacja
Zaktualizuj wtyczkę Page Builder by SiteOrigin do wersji 2.38.0 lub nowszej.
Inne podatności w Page Builder by SiteOrigin
Zobacz wszystkie- CVE-2026-110507Niskie
Wtyczka WordPress Page Builder by SiteOrigin przed wersją 2.38.0 nie ogranicza argumentów zapytania, które użytkownicy mogą dodać do widżetu Post Loop, ani nie ogranicza pętli do postów, do których mają prawo odczytu. Użytkownicy z rolą contributor i wyższą mogą odczytać treść szkiców, postów oczekujących, zaplanowanych i prywatnych innych użytkowników.
- CVE-2026-97256Wysokie
Podatność na wstrzyknięcie obiektów PHP (Object Injection) w Page Builder by SiteOrigin, w wersjach do 2.36.0 włącznie, wymagająca uprawnień edytora.
- CVE-2026-13295Średnie
Wtyczka Page Builder by SiteOrigin dla WordPressa do wersji 2.34.3 zawiera podatność na trwałe ataki XSS przez parametr panels_data. Brak odpowiedniej sanitizacji wejścia i eskejpowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie Współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Page Builder by SiteOrigin WordPress plugin before 2.38.0 does not sanitize or escape a widget property before storing it and outputting it in the page builder interface, which could allow users with the contributor role and above to perform Stored Cross-Site Scripting attacks against higher-privileged users who open the affected post in the editor.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS