CVE-2026-84151
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Post Grid dla WordPressa przed wersją 7.9.5 nie ogranicza rozszerzenia listy dozwolonych znaczników HTML do własnego kodu i stosuje je w całej witrynie. Użytkownicy z rolą Współautor i wyższą mogą przechowywać elementy iframe, style i input, które normalnie są usuwane z ich treści, co prowadzi do wstrzyknięcia HTML (ramki phishingowe, defacement CSS i fałszywe formularze) widocznego dla każdego odwiedzającego oraz administratorów przeglądających treść.
Ocena ryzyka
Organizacja narażona jest na ataki phishingowe, oszpecenie strony oraz podszywanie się pod formularze, co może prowadzić do kradzieży danych użytkowników i utraty zaufania do witryny.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Post Grid do wersji 7.9.5 lub nowszej oraz ograniczenie uprawnień użytkowników z rolą Współautor, jeśli to możliwe.
Powiązane podatności
- CVE-2026-95860Krytyczne
W bibliotece node-opcua (implementacja OPC UA dla TypeScript i Node.js) w wersjach od 2.42.0 do 2.180.0 kontrola dostępu na poziomie przestrzeni nazw skonfigurowana przez setDefaultRolePermissions nie jest respektowana dla węzłów bez jawnych uprawnień. Metoda SessionContext.getApplicableRolePermissions odczytuje brakującą lub pustą wartość zamiast skonfigurowanego pola, a wynik null jest traktowany jako zezwolenie. Anonimowy klient sieciowy może w konsekwencji zapisywać zmienne lub wywoływać metody, gdy operator polegał na restrykcyjnych ustawieniach domyślnych.
- CVE-2026-82158Krytyczne
Dell Wyse Management Suite w wersjach przed 2609.0.0.155 zawiera podatność typu cross-site scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Niskouprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę lukę do wstrzyknięcia skryptu.
- CVE-2026-115732Krytyczne
W trapperkeeper-authorization używanym przez Puppet Server występuje nieprawidłowa autoryzacja przy dopasowywaniu nazw certyfikatów. Klient posiadający certyfikat podpisany przez CA, którego nazwa rozszerza lub skraca autoryzowaną nazwę hosta, może zostać autoryzowany jako ten host. Umożliwia to podszywanie się pod inne węzły, a w Puppet Enterprise dostęp do administracji CA i zdalne wykonanie poleceń na zarządzanych węzłach.
- CVE-2026-115731Krytyczne
W kodzie przetwarzania raportów Puppet używanym przez Puppet Server występuje deserializacja niezaufanych danych. Klient posiadający dowolny certyfikat agenta podpisany przez CA może wykonać dowolny kod na serwerze Puppet jako użytkownik usługi, przesyłając raport z spreparowanym typem rich-data przez żądanie PUT. Jeśli CA automatycznie podpisuje żądania bez silnej weryfikacji, nieuwierzytelniony atakujący sieciowy może uzyskać taki certyfikat.
- CVE-2026-95733Krytyczne
W komponencie HPE Networking Fabric Composer istnieje podatność, której wykorzystanie może pozwolić nieuwierzytelnionemu atakującemu z sąsiedniej sieci na wykonanie dowolnego kodu w zaatakowanym systemie.
- CVE-2026-95732Krytyczne
W systemie operacyjnym bazowym HPE Networking Fabric Composer występuje podatność pozwalająca na obejście uwierzytelniania. Jej wykorzystanie może umożliwić nieuwierzytelnionemu atakującemu z sąsiedniej sieci wykonanie dowolnego kodu w zaatakowanym systemie.
- CVE-2026-95731Krytyczne
W interfejsie wiersza poleceń HPE Networking Fabric Composer występują podatności związane z zaszytymi na stałe hasłami. Nieuwierzytelniony zdalny atakujący może użyć tych poświadczeń, aby uzyskać dostęp administracyjny z podwyższonymi uprawnieniami do zaatakowanego systemu.
- CVE-2026-63471Krytyczne
fastapi-code-generator przed wersją 0.8.1 wstawia ścieżkę OpenAPI do dekoratora trasy @app.get(...) jako ciąg w pojedynczych cudzysłowach bez escapowania osadzonych cudzysłowów. Ścieżka kontrolowana przez atakującego może zamknąć ciąg i wstrzyknąć wyrażenie Python do argumentu dekoratora. Poprawny składniowo wygenerowany kod wykonuje się z uprawnieniami aplikacji lub procesu CI przy imporcie modułu.
- CVE-2026-63470Krytyczne
fastapi-code-generator przed wersją 0.8.1 wstawia Operation.summary do docstringa wygenerowanego handlera trasy jako ciąg w potrójnych cudzysłowach bez escapowania osadzonych potrójnych cudzysłowów. Podsumowanie operacji kontrolowane przez atakującego może zamknąć docstring i wstrzyknąć instrukcję Python do ciała handlera. Poprawny składniowo kod wykonuje się z uprawnieniami procesu serwera przy wywołaniu handlera.
- CVE-2026-63469Krytyczne
fastapi-code-generator przed wersją 0.8.1 wstawia dodatkowy klucz kodu statusu odpowiedzi do słownika responses={...} dekoratora trasy jako ciąg w pojedynczych cudzysłowach bez escapowania osadzonych cudzysłowów. Klucz drugiej, niepodstawowej odpowiedzi kontrolowany przez atakującego może zamknąć literał klucza i wstrzyknąć wyrażenie Python. Poprawny składniowo kod wykonuje się z uprawnieniami aplikacji lub procesu CI przy imporcie modułu.
Oryginalny opis (angielski, źródło NVD)
The Post Grid WordPress plugin before 7.9.5 does not limit an expansion of the WordPress allowed-HTML list to its own markup and applies it site-wide, allowing users with the Contributor role and above to store iframe, style and input elements that are normally stripped from their content, leading to HTML injection (phishing frames, CSS defacement and spoofed input forms) that renders to any visitor and to administrators reviewing the content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS