CVE-2026-57704
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Smart Manager w wersji 8.90.0 i starszych zawiera podatność na atak XSS, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji użytkownika, przekierowanie do złośliwych stron lub kradzież wrażliwych danych. Atak nie wymaga logowania, co zwiększa powierzchnię ataku.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Smart Manager do najnowszej dostępnej wersji. Należy również rozważyć zastosowanie zapory aplikacji webowej (WAF) w celu blokowania typowych wzorców XSS.
Inne podatności w Smart Manager
Zobacz wszystkie- CVE-2026-18443Wysokie
Wtyczka Smart Manager dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'access_privileges' w wersjach do 8.97.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą dodawać zapytania SQL do istniejących zapytań, aby wyciągnąć wrażliwe informacje z bazy danych. Atak jest możliwy tylko wtedy, gdy administrator zapisał konfigurację listy odmów opartą na rolach, która nie blokuje wewnętrznego modułu 'access-privilege'.
- CVE-2026-45216Wysokie
Wtyczka Smart Manager dla WordPressa zawiera podatność polegającą na nieprawidłowym przypisaniu uprawnień, co umożliwia eskalację uprawnień. Problem dotyczy wersji do 8.85.0 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Smart Manager <= 8.90.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS