CVE-2026-118169
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Hustle – Email Marketing, Lead Generation, Optins, Popups dla WordPressa w wersjach do 7.8.14.3 włącznie jest podatna na przechowywany cross-site scripting poprzez parametr 'content[cta_label]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie custom może wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; domyślnie tylko Administratorzy mają uprawnienie hustle_edit_module, ale ekran uprawnień wtyczki pozwala delegować je niższym rolom, w tym Subscriber.
Ocena ryzyka
Atakujący może wykonać złośliwe skrypty w przeglądarce użytkowników, przechwytując sesje lub wykonując akcje w ich imieniu. Ryzyko wzrasta na stronach, gdzie uprawnienia wtyczki delegowano do niskich ról.
Rekomendacja
Zaktualizuj wtyczkę Hustle do wersji nowszej niż 7.8.14.3 lub ją wyłącz, a następnie ogranicz delegowanie uprawnienia hustle_edit_module do zaufanych ról.
Inne podatności w Hustle WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Hustle – Email Marketing, Lead Generation, Optins, Popups plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'content[cta_label]' parameter in all versions up to, and including, 7.8.14.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. By default only Administrators hold the hustle_edit_module capability, but the plugin's built-in Permissions screen allows administrators to delegate this capability to lower roles including Subscriber, enabling Subscriber-level exploitation on sites where that delegation has been configured.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS