CVE-2026-14287
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka 10Web Booster do WordPressa przed wersją 2.33.5 nie weryfikuje poprawnie tokenu dostępu w nieuwierzytelnionym żądaniu oraz nie escapuje treści stylów dostarczanych przez atakującego przed wstawieniem ich do nagłówka strony, co pozwala nieuwierzytelnionemu atakującemu na przechowywanie znaczników wykonujących JavaScript w przeglądarce anonimowych odwiedzających.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt na stronę, co może prowadzić do kradzieży danych odwiedzających, phishingu lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.33.5 lub nowszej, która zawiera poprawki walidacji tokenu i escapowania treści.
Oryginalny opis (angielski, źródło NVD)
The 10Web Booster WordPress plugin before 2.33.5 does not correctly validate an access token on an unauthenticated request handler and does not escape attacker-supplied stylesheet content before rendering it into the page head, allowing an unauthenticated attacker to store markup that executes as JavaScript in the browser of anonymous visitors to an affected page.