CVE-2026-4561
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka MC4WP: Mailchimp for WordPress do wersji 4.12.0 włącznie jest podatna na Stored Cross-Site Scripting przez pola meta wiadomości odpowiedzi formularza (np. 'text_subscribed', 'text_error') z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki MC4WP do najnowszej wersji, która zawiera poprawki sanityzacji i escapowania danych.
Inne podatności w MC4WP: Mailchimp for WordPress
Zobacz wszystkie- CVE-2026-118166Średnie
Wtyczka MC4WP: Mailchimp for WordPress przed wersją 4.15.0 nie zapobiega przetwarzaniu wartości pochodzących z żądania w tagach dynamicznej treści jako shortcode'ów, gdy formularz jest osadzony za pomocą bloku. Umożliwia to nieuwierzytelnionym odwiedzającym wykonanie dowolnych zarejestrowanych shortcode'ów z atrybutami wybranymi przez atakującego, pod warunkiem że właściciel witryny dodał tag pochodzący z żądania do treści formularza i osadził formularz za pomocą bloku, a nie klasycznego shortcode'u.
- CVE-2026-87917Średnie
Wtyczka MC4WP: Mailchimp for WordPress dla WordPressa jest podatna na odbity atak XSS poprzez 'data' Dynamic Content Tag we wszystkich wersjach do 4.14.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku.
Oryginalny opis (angielski, źródło NVD)
The MC4WP: Mailchimp for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the form response message post meta fields (e.g., 'text_subscribed', 'text_error') in all versions up to, and including, 4.12.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS