CVE-2026-119054
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Multiple Pages Generator (Themeisle) przed wersją 4.2.5 zawiera podatność Stored XSS, która pozwala użytkownikom z rolą Contributor wstrzyknąć skrypt przez atrybut base-url shortcode'ów [mpg] i [mpg_match]. Złośliwe ładunki przechodzą przez kses, ale są dekodowane przez html_entity_decode() i renderowane bez escapowania przez {{mpg_url}}.
Ocena ryzyka
Skrypt może wykonać się w przeglądarkach administratorów, umożliwiając przejęcie sesji lub wykonanie działań w ich imieniu. Ryzyko dotyczy witryn z podatną wersją wtyczki i użytkownikami Contributor.
Rekomendacja
Zaktualizuj wtyczkę Multiple Pages Generator do wersji 4.2.5 lub nowszej. Sprawdź treści tworzone przez użytkowników Contributor pod kątem złośliwych shortcode'ów.
Powiązane podatności
- CVE-2026-112917Krytyczne
W Docker Desktop dla Windows z backendem WSL2 nieuprzywilejowany kontener Linux może użyć 32-bitowego wywołania socketcall, aby obejść domyślne ograniczenie seccomp na AF_VSOCK. Może to ujawnić usługi hosta oraz pliki Windows dostępne dla zalogowanego użytkownika. Problem dotyczy x86-64 WSL2; backendy oparte na LinuxKit nie są dotknięte.
- CVE-2026-44267Krytyczne
W bibliotece Elo w wersjach przed 1.0.1 zwykłe łańcuchy znaków przekazywane do parsera mogą wykorzystać właściwość .constructor.constructor do uzyskania dostępu do obiektu JavaScript Function. Powstały kod JavaScript wykonuje kod wybrany przez atakującego w środowisku hosta, co umożliwia wykonanie skryptu w przeglądarce oraz wykonanie dowolnego kodu Node.js.
- CVE-2026-44266Krytyczne
W bibliotece Elo w wersjach przed 1.0.1 backend Ruby osadza tekst kontrolowany przez atakującego w podwójnie cytowanych łańcuchach Ruby bez escapowania znaku #. Formy interpolacji Ruby w emitterze literałów łańcuchowych lub gałęzi ograniczeń podtypów stają się wykonywalnym kodem Ruby, co umożliwia wykonanie kodu Ruby i poleceń powłoki.
- CVE-2026-28336Krytyczne
SolarWinds Dameware zawiera podatność na wstrzyknięcie poleceń, która może doprowadzić do przejęcia zdalnie kontrolowanego hosta. Wymagane jest uwierzytelnienie.
- CVE-2026-109593Krytyczne
Nieuwierzytelniony atakujący z dostępem sieciowym do SonicWall GMS 9.5.2 i wcześniejszych może odczytać wewnętrzne pliki GMS, co potencjalnie ujawnia poufne informacje.
- CVE-2026-121260Krytyczne
W oprogramowaniu Ziroom ZHOME A0101 1.0.1.0 Build 202004151405 wykryto lukę w funkcji loadstring w pliku usr/lib/lua/luci/controller/api/zrUsb.lua (komponent Lua Handler). Manipulacja danymi prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit został opublikowany i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-118527ŚrednieAktywnie exploitowane
W Ivanti Connect Secure przed wersjami 25.1.1.3 i 22.8R2.6 występuje użycie przewidywalnych nazw plików. Uwierzytelniony zdalny atakujący może przesłać pliki o kontrolowanej przez siebie treści do znanej lokalizacji na dysku.
- CVE-2026-89292Krytyczne
W Eclipse Mnestix Browser w wersjach od 1.6.0 do 2.3.0 (wyłącznie) nieuwierzytelniony atakujący mógł wykraść klucz MNESTIX_BACKEND_API_KEY dla wszystkich skonfigurowanych infrastruktur.
- CVE-2026-4052Krytyczne
Podatność dotyczy wdrożeń WSO2 Identity Server skonfigurowanego jako Resident Key Manager z udostępnianiem bazy danych. W takim środowisku samodzielnie zarejestrowany użytkownik może uzyskać dostęp do System REST APIs WSO2 API Manager poprzez token z endpointu tokenów WSO2 Identity Server.
- CVE-2026-13594Krytyczne
Wersje 13062 i starsze produktów ManageEngine Log360 oraz EventLog Analyzer firmy Zoho Corporation są podatne na problem umożliwiający przeciwnikowi uzyskanie nieautoryzowanego dostępu do produktu.
Oryginalny opis (angielski, źródło NVD)
Multiple Pages Generator by Themeisle before 4.2.5 contains a stored cross-site scripting vulnerability that allows Contributor-level users to inject script via the [mpg] and [mpg_match] shortcode base-url attribute. Attackers can store entity-encoded payloads that pass kses but are decoded by html_entity_decode() and rendered unescaped through {{mpg_url}}, executing script in administrators' browsers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS