CVE-2026-114194

Wtyczka Ad Inserter firmy Igor Funa (do wersji 2.8.18) ma podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.

Wtyczka Ad Inserter (do wersji 2.8.18) ma podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to atakującemu odbicie złośliwego skryptu w odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.

Nieuwierzytelniony atak XSS w wtyczce Ad Inserter w wersjach do 2.8.18 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wtyczka Ad Inserter w wersjach do 2.8.19 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.

Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa do wersji 2.8.18 zawiera podatność na ujawnienie wrażliwych informacji przez ai_wp_footer_hook. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wyciągnięcie danych takich jak wewnętrzny adres IP serwera, konfiguracja PHP, wersje WordPressa i motywu, stałe zabezpieczeń, pełna macierz bloków wtyczki oraz wszystkie metadane postów, w tym chronione klucze z prefiksem podkreślenia, takie jak tokeny API i prywatny stan integracji innych wtyczek.

Podatność typu Stored XSS w wtyczce Ad Inserter autorstwa Igora Funy. Brak neutralizacji danych wejściowych podczas generowania stron umożliwia trwałe wstrzyknięcie złośliwego skryptu.

Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez parametr 's' w wyszukiwaniu. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie bloku Ad Inserter z placeholderem {title} lub {short-title} na stronach wyników wyszukiwania.

Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez nagłówek Referer. Brak odpowiedniej sanitizacji i escape'owania danych na dynamicznym tagu '{search-query}' umożliwia nieuwierzytelnionym atakującym wykonanie dowolnego JavaScript w kontekście strony dla każdego odwiedzającego, w tym zalogowanego administratora. Atak wymaga, aby strona miała blok reklamowy z tagiem '{search-query}' i automatyczną insercią.

Wtyczka WordPress Ad Inserter w wersjach przed 2.8.19 nie ogranicza prawidłowo dostępu do jednej ze swoich stron ustawień, przez co jest ona osiągalna dla każdego zalogowanego użytkownika w konfiguracji dozwolonej przez jej własne ustawienia, oraz nie filtruje zapisywanej tam treści. Umożliwia to użytkownikom o roli tak niskiej jak subskrybent zapisanie kodu, który jest następnie wykonywany jako PHP lub wyświetlany odwiedzającym witrynę bez escapowania.

Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa (wszystkie wersje do 2.8.16 włącznie) jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień dla parametru URL 'ai-debug-code'. Nieuwierzytelniony atakujący może wyświetlić skonfigurowane przez administratora bloki kodu nagłówka i stopki, które zostały wyłączone z publicznego wyświetlania.