CVE-2026-96563
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'stm_f_s' we wszystkich wersjach do 1.4.124 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę; nonce wymagany przez handler AJAX stm_ajax_add_a_car jest emitowany w wp_footer na każdej stronie, co ułatwia eksploatację.
Ocena ryzyka
Atakujący może wykonać złośliwe skrypty w przeglądarce użytkownika, przejmując sesję lub wykonując działania w imieniu ofiary.
Rekomendacja
Zaktualizuj wtyczkę Motors do wersji nowszej niż 1.4.124, która naprawia podatność XSS.
Inne podatności w Motors – Car Dealership & Classified Listings Plugin
Zobacz wszystkie- CVE-2026-6806Wysokie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na czasową ślepą iniekcję SQL przez parametry 'stm_lat/stm_lng' w wersjach do 1.4.109 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Nieuwierzytelnieni atakujący mogą dodawać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.
- CVE-2026-16750Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa, we wszystkich wersjach do 1.4.120 włącznie, jest podatna na nieautoryzowany dostęp do danych z powodu braku kontroli autoryzacji w funkcji mvl_ajax_dealer_load_cars(). Umożliwia to nieuwierzytelnionym atakującym pobieranie szkiców, oczekujących, prywatnych i przyszłych ogłoszeń samochodowych należących do dowolnych użytkowników.
- CVE-2026-13114Wysokie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa jest podatna na trwałe ataki XSS przez treść komentarzy i informacje biograficzne użytkownika we wszystkich wersjach do 1.4.112 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-12435Średnie
Wtyczka Motors – Car Dealership & Classified Listings dla WordPressa do wersji 1.4.111 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może oznaczyć lub odznaczyć dowolne ogłoszenie innego użytkownika jako sprzedane, wykorzystując ważny token nonce z własnego ogłoszenia.
Oryginalny opis (angielski, źródło NVD)
The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'stm_f_s' parameter in all versions up to, and including, 1.4.124 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The nonce required by the stm_ajax_add_a_car AJAX handler is emitted in wp_footer on every page, making it accessible to any authenticated user and removing any practical barrier to exploitation at the Subscriber level.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS