CVE-2026-13042
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka RPB Chessboard dla WordPressa do wersji 8.1.2 włącznie zawiera podatność na trwałe ataki XSS poprzez treść komentarzy. Brak odpowiedniej sanitizacji wejścia i ucieczki wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript do komentarzy, co prowadzi do kradzieży sesji, przekierowań lub defacementu strony dla każdego odwiedzającego.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę RPB Chessboard do najnowszej wersji (powyżej 8.1.2) i wdróż Web Application Firewall (WAF) blokujący ataki XSS.
Powiązane podatności
- CVE-2026-89126Krytyczne
SAP Web Dispatcher nieprawidłowo waliduje dane sieciowe przetwarzane przez komponent wewnętrzny. Nieuwierzytelniony atakujący może wysłać spreparowany ruch sieciowy, wywołując uszkodzenie pamięci, co może prowadzić do wykonania dowolnego kodu i pełnego przejęcia systemu.
- CVE-2026-89119Krytyczne
SAP Web Dispatcher oraz SAP NetWeaver Application Server ABAP (Internet Communication Manager) nie wykonują wystarczającej walidacji żądań w niektórych funkcjach administracyjnych. Nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do odwiedzenia złośliwego linku, co może wywołać niepożądane akcje w sesji administratora i doprowadzić do pełnego przejęcia systemu operacyjnego.
- CVE-2026-89103Krytyczne
SAP Gateway aktywuje domyślną listę kontroli dostępu z wysokimi uprawnieniami, co pozwala zaklasyfikować zewnętrznego atakującego jako wewnętrzny serwer aplikacji. Nieuwierzytelniony atakujący z dostępem sieciowym do SAP Gateway może wykonywać nieautoryzowane działania w środowisku aplikacji.
- CVE-2026-76965Krytyczne
SAP NetWeaver Application Server ABAP i ABAP Platform nie wykonują niezbędnych kontroli autoryzacji dla niektórych funkcji wewnętrznych. Atakujący z niskimi uprawnieniami może wywołać podatną funkcjonalność i wykonać dowolne polecenia systemu operacyjnego na hoście.
- CVE-2026-76964Krytyczne
SAP NetWeaver Application Server ABAP nieprawidłowo waliduje dane sieciowe przetwarzane przez komponent wewnętrzny. Nieuwierzytelniony atakujący może wysłać spreparowany ruch sieciowy, wywołując uszkodzenie pamięci, co może prowadzić do wykonania dowolnego kodu i pełnego przejęcia systemu.
- CVE-2026-125086Krytyczne
W urządzeniu D-Link M60 1.12.B01 w pliku /etc/emDaemon/mosquitto.conf komponentu emDaemon MQTT Broker występują zaszyte na stałe poświadczenia. Podatność można wykorzystać zdalnie, a publicznie ujawniony exploit może być już używany.
- CVE-2026-124600Krytyczne
GV-Face przesyła poufne dane uwierzytelniające użytkowników oraz powiązane dane uwierzytelniania przez niezaszyfrowane połączenia HTTP. Ruch HTTP nie jest szyfrowany, co umożliwia atakującemu przechwycenie transmisji.
- CVE-2026-120017Krytyczne
SAP NetWeaver AS ABAP i ABAP Platform nie wykonują wystarczającej weryfikacji przychodzących asercji uwierzytelniania w niektórych konfiguracjach. Nieuwierzytelniony atakujący może przesłać spreparowane dane, aby obejść uwierzytelnianie i podszyć się pod dowolnych użytkowników, w tym konta uprzywilejowane.
- CVE-2026-109803Krytyczne
SAP NetWeaver Knowledge Management (XML Forms) nie ogranicza wystarczająco wyboru przetwarzanych transformacji XSL. Uwierzytelniony użytkownik z dostępem do podatnej funkcjonalności może spowodować przetworzenie nieautoryzowanej transformacji XSL, co może prowadzić do wykonania dowolnego kodu w kontekście aplikacji.
- CVE-2026-109798Krytyczne
SAP BusinessObjects Business Intelligence Platform (Web Intelligence) nieprawidłowo ogranicza rozwiązywanie encji zewnętrznych podczas przetwarzania żądań połączeń OLAP. Uwierzytelniony atakujący może uzyskać dostęp do ograniczonych zasobów, odczytać poufne pliki na serwerze i dotrzeć do wewnętrznych systemów.
Oryginalny opis (angielski, źródło NVD)
The RPB Chessboard plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content in all versions up to, and including, 8.1.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. WordPress's save-time kses sanitization does not mitigate this issue because the crafted payload uses only kses-allowed tags and attributes (such as an <a> element with title and href), and the dangerous attribute-breaking HTML is synthesized entirely at render time by the plugin's own comment_text filter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS