CVE-2026-14225
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność w wtyczce Easy Appointments WordPress przed wersją 3.12.28. Nieprawidłowa walidacja danych wejściowych shortcode w akcji renderowania bloku pozwala użytkownikom z dostępem na poziomie współautora na wykonanie dowolnych zarejestrowanych shortcode'ów.
Ocena ryzyka
Możliwość wykonania dowolnych shortcode'ów może prowadzić do nieautoryzowanych działań, takich jak modyfikacja treści lub wstrzyknięcie złośliwego kodu.
Rekomendacja
Zaktualizuj wtyczkę Easy Appointments do wersji 3.12.28 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Easy Appointments WordPress plugin before 3.12.28 does not correctly validate shortcode input in one of its block-rendering actions, checking only the first tag of the supplied string against an allowlist while rendering the entire string, allowing users with contributor-level access to execute arbitrary registered shortcodes.