CVE-2026-116854
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W wtyczce WP Customer Area w wersjach do 8.4.0 występuje podatność Cross Site Scripting (XSS) umożliwiająca atak użytkownikowi z rolą subskrybenta.
Ocena ryzyka
Atakujący z kontem subskrybenta może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników, m.in. administratorów.
Rekomendacja
Zaktualizuj wtyczkę WP Customer Area do wersji nowszej niż 8.4.0 i ogranicz role subskrybentów do niezbędnych uprawnień.
Inne podatności w WP Customer Area
Zobacz wszystkie- CVE-2026-7640Średnie
Wtyczka WP Customer Area dla WordPressa jest podatna na trwałe ataki XSS poprzez atrybut 'type' shortcode'u `customer-area-protected-content` we wszystkich wersjach do 8.3.5 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutu shortcode'u.
- CVE-2026-42661Wysokie
Wtyczka WP Customer Area w wersjach do 8.3.4 zawiera podatność na atak typu Path Traversal, co może umożliwić nieautoryzowany dostęp do plików systemowych.
- CVE-2025-60201Wysokie
Wtyczka WordPress WP Customer Area przed wersją 8.3.4 zawiera podatność PHP Local File Inclusion (LFI) wynikającą z nieprawidłowej kontroli nazwy pliku w instrukcji include/require. Umożliwia to atakującemu dołączenie lokalnych plików PHP.
Oryginalny opis (angielski, źródło NVD)
Subscriber Cross Site Scripting (XSS) in WP Customer Area <= 8.4.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS