CVE-2026-57722
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Enable Media Replace dla WordPressa zawiera podatność na trwałe ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji od n/a do 4.2.1 włącznie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który będzie wykonywany w przeglądarkach administratorów, co może prowadzić do kradzieży sesji, modyfikacji treści lub dalszej eskalacji uprawnień w WordPressie.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Enable Media Replace do wersji 4.2.2 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Inne podatności w Enable Media Replace
Zobacz wszystkie- CVE-2026-73186Wysokie
Wtyczka WordPress Enable Media Replace w wersjach do 4.2.2 zawiera podatność na wstrzyknięcie obiektu PHP (PHP Object Injection) możliwą do wykorzystania przez użytkownika z rolą subskrybenta.
- CVE-2026-85655Średnie
Wtyczka Enable Media Replace dla WordPressa w wersjach do 4.2.2 włącznie jest podatna na obejście autoryzacji. Wynika to z braku weryfikacji uprawnień użytkownika do wykonania akcji, co pozwala uwierzytelnionym atakującym z poziomem autora i wyższym modyfikować treść (post_content) dowolnych opublikowanych wpisów odwołujących się do zastępowanego medium, w tym wpisów administratora. Metoda doReplaceQuery() wykonuje wyszukiwanie i zamianę w całej bazie danych bez sprawdzania uprawnień do poszczególnych wpisów.
- CVE-2025-9496Średnie
Wtyczka Enable Media Replace dla WordPressa jest podatna na przechowywane skryptowanie między witrynami (XSS) poprzez shortcode 'file_modified' we wszystkich wersjach do 4.1.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in ShortPixel Enable Media Replace allows Stored XSS. This issue affects Enable Media Replace: from n/a through 4.2.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS