CVE-2026-116847
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Mang Board WP w wersjach do 2.4.6 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.
Ocena ryzyka
Może to prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, kradzieży sesji lub przejęcia konta. Ryzyko dotyczy wszystkich witryn z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Mang Board WP do najnowszej wersji (powyżej 2.4.6). Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wydania poprawki.
Inne podatności w Mang Board WP
Zobacz wszystkie- CVE-2026-84770Wysokie
Nieuwierzytelniony Cross-Site Request Forgery (CSRF) w wtyczce Mang Board WP w wersjach do 2.3.8.
- CVE-2026-109698Krytyczne
W wtyczce Mang Board WP (mangboard) do wersji 2.4.4 występuje podatność SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
- CVE-2026-88043Wysokie
Wtyczka Mang Board WP dla WordPressa jest podatna na trwałe skrypty cross-site (Stored XSS) poprzez parametr 'data_type' we wszystkich wersjach do 2.4.0 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-94176Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Mang Board WP w wersjach do 2.4.1.
- CVE-2026-75977Wysokie
Wtyczka Mang Board WP dla WordPressa jest podatna na brak autoryzacji poprzez fałszowanie ciasteczek uwierzytelniających we wszystkich wersjach do 2.3.7 włącznie. Wynika to z błędnej generacji HMAC w funkcji mbw_get_hash_key(), która używa tożsamości bieżącego użytkownika zamiast parametru nazwy użytkownika z ciasteczka, gdy użytkownik WordPressa jest zalogowany, oraz z niewystarczającej walidacji w mbw_validate_auth_cookie(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej fałszowanie ciasteczek uwierzytelniających administratora i zmianę haseł administratorów, co prowadzi do całkowitego przejęcia witryny.
- CVE-2026-61974Wysokie
Wtyczka Mang Board WP w wersjach do 2.3.4 zawiera podatność na atak XSS (Cross Site Scripting), która może być wykorzystana bez uwierzytelnienia.
- CVE-2026-13334Średnie
Wtyczka Mang Board WP dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'stag' we wszystkich wersjach do 2.3.4 włącznie. Podatność wynika z niewystarczającej sanitizacji wejścia i braku odpowiedniego kodowania wyjścia.
- CVE-2025-12193Średnie
Wtyczka Mang Board WP dla WordPressa jest podatna na odbity atak XSS przez parametr 'mp' w wersjach do 2.3.1 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzyknąć skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Mang Board WP <= 2.4.6 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS