CVE-2026-85657
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Co-Authors, Multiple Authors and Guest Authors in an Author Box with PublishPress Authors dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'profile_fields_user_email_value_prefix' we wszystkich wersjach do 4.15.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Autora lub wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się po kliknięciu linku przez użytkownika.
Ocena ryzyka
Przejęcie sesji użytkowników, kradzież danych lub rozprzestrzenianie złośliwego oprogramowania w kontekście zaufanej witryny.
Rekomendacja
Zaktualizuj wtyczkę PublishPress Authors do wersji nowszej niż 4.15.0, która zawiera poprawki sanityzacji i escapowania.
Inne podatności w PublishPress Authors
Zobacz wszystkie- CVE-2026-111592Średnie
Wtyczka PublishPress Authors dla WordPressa jest podatna na przechowywane XSS poprzez parametr 'name' (mapowany na display_name) w wersjach do 4.17.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby konto atakującego miało przypisany termin autora, co nie jest domyślne dla nowych użytkowników.
- CVE-2026-115610Średnie
Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce PublishPress Authors pozwala na przechowywany XSS. Podatność dotyczy wersji do 4.17.0 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Co-Authors, Multiple Authors and Guest Authors in an Author Box with PublishPress Authors plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘profile_fields_user_email_value_prefix’ parameter in all versions up to, and including, 4.15.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user clicks on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS