CVE-2026-89427
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez parametr 's' w wyszukiwaniu. Brak odpowiedniej sanitizacji i escape'owania danych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się po kliknięciu przez użytkownika w spreparowany link. Warunkiem jest skonfigurowanie bloku Ad Inserter z placeholderem {title} lub {short-title} na stronach wyników wyszukiwania.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub manipulacji treścią strony. Atak wymaga interakcji użytkownika, ale może dotknąć każdego odwiedzającego stronę.
Rekomendacja
Zaktualizuj wtyczkę Ad Inserter do najnowszej wersji, która zawiera poprawkę. Dodatkowo rozważ ograniczenie używania placeholderów {title} i {short-title} na stronach wyszukiwania, jeśli nie są niezbędne.
Inne podatności w Ad Inserter
Zobacz wszystkie- CVE-2026-118094Średnie
Wtyczka Ad Inserter firmy Igor Funa (do wersji 2.8.18) ma podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron.
- CVE-2026-114709Średnie
Wtyczka Ad Inserter (do wersji 2.8.18) ma podatność Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Umożliwia to atakującemu odbicie złośliwego skryptu w odpowiedzi serwera, który zostanie wykonany w przeglądarce ofiary.
- CVE-2026-97077Wysokie
Nieuwierzytelniony atak XSS w wtyczce Ad Inserter w wersjach do 2.8.18 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-105077Wysokie
Wtyczka Ad Inserter w wersjach do 2.8.19 zawiera podatność Cross Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce użytkownika.
- CVE-2026-114194Średnie
Podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce WordPress Ad Inserter (ad-inserter) pozwala na odbity atak XSS. Problem dotyczy wersji od n/a do 2.8.18.
- CVE-2026-89097Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa do wersji 2.8.18 zawiera podatność na ujawnienie wrażliwych informacji przez ai_wp_footer_hook. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej wyciągnięcie danych takich jak wewnętrzny adres IP serwera, konfiguracja PHP, wersje WordPressa i motywu, stałe zabezpieczeń, pełna macierz bloków wtyczki oraz wszystkie metadane postów, w tym chronione klucze z prefiksem podkreślenia, takie jak tokeny API i prywatny stan integracji innych wtyczek.
- CVE-2026-107864Średnie
Podatność typu Stored XSS w wtyczce Ad Inserter autorstwa Igora Funy. Brak neutralizacji danych wejściowych podczas generowania stron umożliwia trwałe wstrzyknięcie złośliwego skryptu.
- CVE-2026-19902Średnie
Wtyczka Ad Inserter dla WordPressa do wersji 2.8.18 włącznie jest podatna na odbity XSS przez nagłówek Referer. Brak odpowiedniej sanitizacji i escape'owania danych na dynamicznym tagu '{search-query}' umożliwia nieuwierzytelnionym atakującym wykonanie dowolnego JavaScript w kontekście strony dla każdego odwiedzającego, w tym zalogowanego administratora. Atak wymaga, aby strona miała blok reklamowy z tagiem '{search-query}' i automatyczną insercią.
- CVE-2026-81655Wysokie
Wtyczka WordPress Ad Inserter w wersjach przed 2.8.19 nie ogranicza prawidłowo dostępu do jednej ze swoich stron ustawień, przez co jest ona osiągalna dla każdego zalogowanego użytkownika w konfiguracji dozwolonej przez jej własne ustawienia, oraz nie filtruje zapisywanej tam treści. Umożliwia to użytkownikom o roli tak niskiej jak subskrybent zapisanie kodu, który jest następnie wykonywany jako PHP lub wyświetlany odwiedzającym witrynę bez escapowania.
- CVE-2026-11984Średnie
Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPressa (wszystkie wersje do 2.8.16 włącznie) jest podatna na obejście autoryzacji z powodu braku sprawdzenia uprawnień dla parametru URL 'ai-debug-code'. Nieuwierzytelniony atakujący może wyświetlić skonfigurowane przez administratora bloki kodu nagłówka i stopki, które zostały wyłączone z publicznego wyświetlania.
Oryginalny opis (angielski, źródło NVD)
The Ad Inserter – Ad Manager & AdSense Ads plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via 's' Search Parameter in all versions up to, and including, 2.8.18 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Exploitation requires that a site administrator has configured at least one Ad Inserter block using the {title} or {short-title} placeholder with that block enabled for search pages, which is a standard, documented plugin feature.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS