CVE-2026-76931
ŚrednieCVSS 6.4Streszczenie
Wtyczka Zephyr Project Manager dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'message' we wszystkich wersjach do 3.3.205 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony, ale tylko gdy wyłączona jest opcja 'Directly link to project'.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania poprzez wykonanie skryptów w kontekście przeglądarki ofiary. Atak wymaga jednak spełnienia dodatkowego warunku konfiguracyjnego.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji, która zawiera poprawkę. Dodatkowo należy włączyć opcję 'Directly link to project' lub ograniczyć dostęp do stron, na których wyświetlane są dane projektu.
Inne podatności w Zephyr Project Manager
Zobacz wszystkie- CVE-2025-12496Średnie
Wtyczka Zephyr Project Manager dla WordPress jest podatna na Directory Traversal we wszystkich wersjach do 3.3.203 włącznie, poprzez parametr `file`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym odczyt dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Na serwerach z włączonym `allow_url_fopen` podatność umożliwia również Server-Side Request Forgery (SSRF).
- CVE-2025-10490Średnie
Wtyczka Zephyr Project Manager dla WordPress jest podatna na Stored Cross-Site Scripting poprzez ustawienia administracyjne we wszystkich wersjach do 3.3.202 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność dotyczy tylko instalacji multi-site oraz instalacji, w których wyłączono unfiltered_html.
Oryginalny opis (angielski, źródło NVD)
The Zephyr Project Manager plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘message’ parameter in all versions up to, and including, 3.3.205 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The vulnerability can only be exploited when the 'Directly link to project' plugin setting is disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS