CVE-2026-120114
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka Debug Log Manager dla WordPressa (do wersji 2.5.2) jest podatna na przechowywany cross-site scripting poprzez parametr 'message (and pageUrl)' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego logowania debugowania z aktywnym logowaniem błędów JS oraz uzyskania publicznie emitowanego nonce dlmVars.jsErrorLogging.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w przeglądarce administratora lub innych użytkowników, co może prowadzić do kradzieży sesji lub przejęcia konta. Wymaga to jednak określonej konfiguracji logowania debugowania.
Rekomendacja
Zaktualizuj wtyczkę Debug Log Manager do wersji nowszej niż 2.5.2. Rozważ wyłączenie logowania błędów JS, jeśli nie jest niezbędne, oraz ograniczenie dostępu do panelu debugowania.
Inne podatności w Debug Log Manager
Oryginalny opis (angielski, źródło NVD)
The Debug Log Manager – Conveniently Monitor and Inspect Errors plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'message (and pageUrl)' parameter in all versions up to, and including, 2.5.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Successful exploitation requires that the site administrator has debug logging enabled with JS error logging active, and that the attacker can obtain the publicly emitted dlmVars.jsErrorLogging nonce — which is broadcast on every frontend page — to pass the nonce check on the unauthenticated endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS