CVE-2026-53741
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 — wyżej niż 9% wszystkich znanych CVE
Streszczenie
Simple Link Directory w wersji 9.0.4 interpoluje opcję sld_no_results_found do literału ciągu JavaScript bez kodowania. Z powodu tego, że sanitize_text_field pozostawia cudzysłowy nietknięte, przechowywany ładunek może wydostać się z ciągu i uruchomić skrypt dla każdego odwiedzającego stronę.
Ocena ryzyka
Podatność ta może prowadzić do wykonania złośliwego skryptu na stronach odwiedzających, co stwarza ryzyko kradzieży danych lub przejęcia sesji użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Simple Link Directory oraz zastosowanie odpowiednich mechanizmów kodowania danych wejściowych, aby zapobiec wstrzyknięciu skryptów.
Oryginalny opis (angielski, źródło NVD)
Simple Link Directory through 9.0.4 interpolates the sld_no_results_found option into a JavaScript string literal without encoding. Because sanitize_text_field leaves quotes intact, a stored payload breaks out of the string and runs script for every page visitor.