CVE-2026-96575
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Transliterator dla WordPressa jest podatna na przechowywane ataki XSS przez treść komentarzy z użyciem przewidywalnego placeholderu {rstr_keep} w wersjach do 2.5.8 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Payload przetrwa sanitizację komentarzy WordPressa, ponieważ używane tagi i atrybuty są dozwolone przez listę kses.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub dalszych ataków. Atak może być przeprowadzony przez każdego bez uwierzytelnienia.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Transliterator do najnowszej wersji z poprawką. Należy również rozważyć wzmocnienie sanitizacji komentarzy lub wyłączenie funkcji placeholderów.
Inne podatności w Transliterator
Oryginalny opis (angielski, źródło NVD)
The Transliterator – Multilingual and Multi-script Text Conversion plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via Predictable {rstr_keep} Placeholder in all versions up to, and including, 2.5.8 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload survives WordPress comment save-time sanitization because the tags and attributes used (such as a[title] and code) are permitted by the core comment kses allow-list, and the literal characters comprising the plugin's shortcode markers and placeholder tokens are not stripped.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS