CVE-2026-16684
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Easy Property Listings dla WordPressa do wersji 3.5.24 zawiera podatność na Stored Cross-Site Scripting (XSS) poprzez metodę kontaktu użytkownika 'facebook'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdym dostępie do strony, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków na użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki Easy Property Listings do najnowszej wersji oraz ograniczenie możliwości edycji danych kontaktowych tylko do zaufanych użytkowników.
Inne podatności w Easy Property Listings
Zobacz wszystkie- CVE-2026-61989Wysokie
Wtyczka WordPress Easy Property Listings w wersjach do 3.5.25 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2025-64242Średnie
Wtyczka Easy Property Listings firmy Merv Barrett zawiera podatność polegającą na braku autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.5.22 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Easy Property Listings plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'facebook' User Contact Method in all versions up to, and including, 3.5.24 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS