CVE-2026-6972

ŚrednieCVSS 6.4

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka SKT Skill Bar dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut `chart_size` shortcodu `skillwrapper` we wszystkich wersjach do 2.6 włącznie, z powodu niedostatecznej sanityzacji wejścia i escapingu wyjścia. Atrybut jest konkatenowany bezpośrednio do bloku `<style>`, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów.

Ocena ryzyka

Wstrzyknięte skrypty mogą wykonywać się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaktualizuj wtyczkę SKT Skill Bar do najnowszej wersji, jeśli dostępna. Ogranicz dostęp do edycji treści tylko zaufanym użytkownikom i rozważ użycie zapory aplikacyjnej.

Inne podatności w SKT Skill Bar

CVE-2025-66090Średnie
Wtyczka SKT Skill Bar dla WordPressa (wersje do 2.5) jest podatna na DOM-Based XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wprowadzić złośliwy kod, który zostanie wykonany w przeglądarce użytkownika.

Oryginalny opis (angielski, źródło NVD)

The SKT Skill Bar plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the `chart_size` attribute of the `skillwrapper` shortcode in all versions up to, and including, 2.6. This is due to insufficient input sanitization and output escaping on the `chart_size` attribute, which is concatenated directly into an inline `<style>` block. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS