CVE-2026-81655
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Ad Inserter w wersjach przed 2.8.19 nie ogranicza prawidłowo dostępu do jednej ze swoich stron ustawień, przez co jest ona osiągalna dla każdego zalogowanego użytkownika w konfiguracji dozwolonej przez jej własne ustawienia, oraz nie filtruje zapisywanej tam treści. Umożliwia to użytkownikom o roli tak niskiej jak subskrybent zapisanie kodu, który jest następnie wykonywany jako PHP lub wyświetlany odwiedzającym witrynę bez escapowania.
Ocena ryzyka
Możliwość zapisania i wykonania kodu PHP przez użytkownika o niskich uprawnieniach grozi pełnym przejęciem witryny WordPress, a wyświetlanie nieescapowanej treści umożliwia ataki typu cross-site scripting na odwiedzających.
Rekomendacja
Zaktualizuj wtyczkę Ad Inserter do wersji 2.8.19 lub nowszej oraz przejrzyj zawartość zapisaną w jej ustawieniach w poszukiwaniu nieautoryzowanego kodu.
Inne podatności w Ad Inserter
Zobacz wszystkie- CVE-2026-118094Średnie
Wtyczka Ad Inserter firmy Igor Funa (do wersji 2.8.18) ma podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.
- CVE-2026-114709Średnie
Wtyczka Ad Inserter (do wersji 2.8.18) ma podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to atakującemu odbicie złośliwego skryptu w odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-97077Wysokie
Nieuwierzytelniony atak XSS w wtyczce Ad Inserter w wersjach do 2.8.18 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-105077Wysokie
Wtyczka Ad Inserter w wersjach do 2.8.19 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2026-114194Średnie
Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce WordPress Ad Inserter (ad-inserter) pozwala na odbity atak XSS. Problem dotyczy wersji od n/a do 2.8.18.
- CVE-2026-89097Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa do wersji 2.8.18 zawiera podatność na ujawnienie wrażliwych informacji przez ai_wp_footer_hook. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wyciągnięcie danych takich jak wewnętrzny adres IP serwera, konfiguracja PHP, wersje WordPressa i motywu, stałe zabezpieczeń, pełna macierz bloków wtyczki oraz wszystkie metadane postów, w tym chronione klucze z prefiksem podkreślenia, takie jak tokeny API i prywatny stan integracji innych wtyczek.
- CVE-2026-107864Średnie
Podatność typu Stored XSS w wtyczce Ad Inserter autorstwa Igora Funy. Brak neutralizacji danych wejściowych podczas generowania stron umożliwia trwałe wstrzyknięcie złośliwego skryptu.
- CVE-2026-89427Średnie
Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez parametr 's' w wyszukiwaniu. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie bloku Ad Inserter z placeholderem {title} lub {short-title} na stronach wyników wyszukiwania.
- CVE-2026-19902Średnie
Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez nagłówek Referer. Brak odpowiedniej sanitizacji i escape'owania danych na dynamicznym tagu '{search-query}' umożliwia nieuwierzytelnionym atakującym wykonanie dowolnego JavaScript w kontekście strony dla każdego odwiedzającego, w tym zalogowanego administratora. Atak wymaga, aby strona miała blok reklamowy z tagiem '{search-query}' i automatyczną insercią.
- CVE-2026-11984Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa (wszystkie wersje do 2.8.16 włącznie) jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień dla parametru URL 'ai-debug-code'. Nieuwierzytelniony atakujący może wyświetlić skonfigurowane przez administratora bloki kodu nagłówka i stopki, które zostały wyłączone z publicznego wyświetlania.
Oryginalny opis (angielski, źródło NVD)
The Ad Inserter WordPress plugin before 2.8.19 does not correctly restrict access to one of its settings pages, making it reachable by every logged in user under a configuration its own settings allow, and does not filter the content saved there, allowing users with a role as low as subscriber to store code which is then executed as PHP or served unescaped to site visitors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS