CVE-2026-116535
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka SEOPress dla WordPressa (do wersji 10.3) jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'display_name'. Niedostateczna sanityzacja i escapowanie danych wejściowych pozwala uwierzytelnionemu atakującemu z poziomem Subskrybenta wstrzyknąć dowolne skrypty do stron, które wykonają się przy ich odwiedzeniu. Ładunek wykorzystuje token %%archive_title%% wraz z kodem HTML, a wtyczka podstawia token po escapowaniu.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może wykonać dowolny kod JavaScript w przeglądarce użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji lub innych działań w kontekście witryny. Może to dotyczyć również administratorów przeglądających strony.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 10.3. Do czasu aktualizacji rozważ ograniczenie możliwości zmiany display_name przez użytkowników o niskich uprawnieniach.
Inne podatności w SEOPress
Zobacz wszystkie- CVE-2026-96564Wysokie
Wtyczka SEOPress dla WordPressa jest podatna na przechowywane ataki XSS przez wyświetlaną nazwę autora w wersjach do 10.2 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga skonfigurowania wymiaru niestandardowego 'Track Authors' w ustawieniach Google Analytics 4 lub Matomo oraz możliwości publikowania treści przez atakującego.
- CVE-2026-101357Średnie
Wtyczka SEOPress dla WordPressa jest podatna na przechowywany XSS we wszystkich wersjach do 10.2 włącznie, poprzez parametr 'seopress_google_analytics_matomo_id'. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-85305Średnie
Wtyczka SEOPress do wersji 10.1 ma podatność Server-Side Request Forgery (SSRF), która umożliwia atakującemu wysyłanie żądań z serwera.
Oryginalny opis (angielski, źródło NVD)
The SEOPress – AI SEO Plugin & On-site SEO plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'display_name' parameter in all versions up to, and including, 10.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable by any Subscriber who sets their display_name to a string containing the literal %%archive_title%% token alongside HTML event-handler payloads, as WordPress stores display names without HTML filtering and the plugin substitutes the token after escaping has already occurred.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS