CVE-2026-14845
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka NewStatPress dla WordPressa przed wersją 1.4.5 nie oczyszcza i nie koduje danych pochodzących z nieuwierzytelnionych żądań odwiedzających przed ich przechowaniem i późniejszym wyświetleniem w jednym z widgetów. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting na użytkowników przeglądających ten widget.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach administratorów i odwiedzających, prowadząc do kradzieży sesji, przekierowań na złośliwe strony lub kradzieży danych.
Rekomendacja
Zaktualizuj wtyczkę NewStatPress do wersji 1.4.5 lub nowszej.
Inne podatności w NewStatPress
Zobacz wszystkie- CVE-2026-101924Wysokie
Wtyczka NewStatPress dla WordPressa do wersji 1.4.5 włącznie jest podatna na Stored Cross-Site Scripting przez pole 'Last referrers' na stronie administracyjnej Overview. Podatność wynika z niedostatecznego escapowania ciągu zapytania dostarczonego przez odwiedzającego, co pozwala nieuwierzytelnionym atakującym wstrzyknąć dowolne skrypty.
- CVE-2026-100153Wysokie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'QUERY_STRING / REQUEST_URI'. Z powodu niewystarczającej sanityzacji danych wejściowych i braku escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga umieszczenia przez administratora shortcode [NewStatPress type="Top Pages"] na publicznie widocznej stronie oraz zgromadzenia przez spreparowany URL wystarczającej liczby odsłon, aby pojawił się w rankingu top-N.
- CVE-2025-13747Średnie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.3 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez obejście wyrażenia regularnego w funkcji `nsp_shortcode` z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami Contributor i wyższymi wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The NewStatPress WordPress plugin before 1.4.5 does not sanitise and escape data derived from unauthenticated visitor requests before storing it and later outputting it in one of its widgets, which could allow unauthenticated attackers to perform Stored Cross-Site Scripting attacks against users viewing the affected widget.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS