CVE-2026-42750
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WPComplete (do wersji 2.9.5.4) zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy kod może zostać zapisany i wykonany w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może zapisać skrypt wykonujący się w sesji administratora lub użytkowników, co może prowadzić do przejęcia sesji lub modyfikacji danych. Wpływa to na bezpieczeństwo witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę WPComplete do wersji nowszej niż 2.9.5.4. Rozważ dodatkowe filtrowanie danych wejściowych i wdrożenie CSP.
Inne podatności w WPComplete
Zobacz wszystkie- CVE-2026-66479Wysokie
Podatność na Cross-Site Request Forgery (CSRF) w WPComplete od Liquid Web / StellarWP umożliwia przechowywany XSS. Problem dotyczy WPComplete w wersjach od n/a do 2.9.5.6.
- CVE-2026-77820Średnie
Wtyczka WPComplete dla WordPressa (wersje do 2.9.9.0 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez atrybut shortcode 'empty' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem współtwórcy i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Wymaga to wersji premium oprogramowania. Uwaga: dotyczy to wyłącznie wersji pro.
- CVE-2026-66599Wysokie
Podatność na Cross Site Scripting (XSS) bez uwierzytelnienia w WPComplete w wersjach do 2.9.5.6. Umożliwia wstrzyknięcie złośliwego skryptu do strony.
- CVE-2025-49906Średnie
Wtyczka WPComplete ma brak autoryzacji, co pozwala na dostęp do funkcji, które powinny być ograniczone przez listy kontroli dostępu (ACL). Podatność dotyczy wersji do 2.9.5.3 włącznie.
- CVE-2025-58974Średnie
Wtyczka WPComplete do WordPressa zawiera podatność typu Stored Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Podatność dotyczy wersji do 2.9.5.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Nexcess WPComplete wpcomplete allows Stored XSS.This issue affects WPComplete: from n/a through <= 2.9.5.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS