CVE-2026-18402
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa do wersji 1.10.3 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'draweropenverposition'. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Payload jest przechowywany w JSON w komentarzu HTML, a brak esc_attr() pozwala na złamanie atrybutu.
Ocena ryzyka
Ryzyko przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania poprzez wykonanie skryptów w przeglądarkach odwiedzających.
Rekomendacja
Zaktualizuj wtyczkę SureDash do najnowszej wersji. Ogranicz uprawnienia contributorów i regularnie skanuj strony pod kątem złośliwego kodu.
Inne podatności w SureDash
Zobacz wszystkie- CVE-2026-57401Krytyczne
Wtyczka SureDash dla WordPressa zawiera podatność na path traversal, która pozwala atakującemu na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji do 1.8.0 włącznie.
- CVE-2026-115604Średnie
W wtyczce SureDash w wersjach do 1.12.3 występuje podatność umożliwiająca użytkownikowi z rolą subskrybenta usuwanie dowolnych plików.
- CVE-2026-115605Średnie
Brak autoryzacji w wtyczce SureDash firmy Brainstorm Force pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.12.3 włącznie.
- CVE-2026-110881Średnie
Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce SureDash firmy Brainstorm Force pozwala na przechowywany XSS. Podatność dotyczy wersji do 1.12.3 włącznie.
- CVE-2026-110892Średnie
Wtyczka WordPress 'SureDash' (wersje do 1.12.2) ma brakującą autoryzację, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonać akcje, do których nie powinien mieć uprawnień.
- CVE-2026-110894Średnie
Wtyczka SureDash firmy Brainstorm Force ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.12.2 włącznie.
- CVE-2026-110893Średnie
Wtyczka SureDash (Brainstorm Force) w wersjach do 1.12.2 zawiera podatność typu Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-96870Średnie
Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'display_name' we wszystkich wersjach do 1.12.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się gdy użytkownik najedzie na licznik polubień komentarza, ponieważ handler tooltipa przypisuje wartość atrybutu data-tooltip-description bezpośrednio do innerHTML.
- CVE-2026-102774Średnie
Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPress jest podatna na trwałe DOM-based Cross-Site Scripting poprzez atrybut 'alt' obrazu w treści postów społeczności we wszystkich wersjach do 1.12.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-66698Wysokie
Wtyczka SureDash w wersji 1.10.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.
Oryginalny opis (angielski, źródło NVD)
The SureDash – Community, Courses & Member Dashboard plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'draweropenverposition' Block/Shortcode Attribute in all versions up to, and including, 1.10.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The injected payload is stored inside the block-delimiter HTML comment's JSON, which wp_kses_post does not neutralize on save, and is only interpolated into the rendered style attribute at display time without esc_attr() escaping, allowing a double-quote to break out of the attribute and introduce arbitrary HTML event handlers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS