CVE-2026-86803
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka The Ocean Extra dla WordPressa w wersjach do 2.6.0 włącznie jest podatna na wykonanie dowolnego shortcode. Wynika to z faktu, że oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y, co może prowadzić do ujawnienia informacji, modyfikacji treści lub dalszego wykorzystania innych podatności.
Rekomendacja
Zaktualizuj wtyczkę The Ocean Extra do wersji nowszej niż 2.6.0.
Inne podatności w Ocean Extra
Zobacz wszystkie- CVE-2026-34903Średnie
Wtyczka Ocean Extra dla WordPressa (do wersji 2.5.3) zawiera podatność typu Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2025-9499Średnie
Wtyczka Ocean Extra dla WordPressa jest podatna na przechowywany XSS poprzez shortcode 'oceanwp_library' w wersjach do 2.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania atrybutów podanych przez użytkownika. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się przy wejściu na stronę.
Oryginalny opis (angielski, źródło NVD)
The The Ocean Extra plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 2.6.0 This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS