CVE-2026-96650
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Strong Testimonials dla WordPressa jest podatna na przechowywane ataki XSS przez pole niestandardowe 'platform_user_photo' w wersjach do 3.3.11 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga, aby administrator dodał pola tekstowe 'platform' i 'platform_user_photo' do publicznego formularza zgłoszeń.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub dalszych ataków. Atak może być przeprowadzony przez każdego bez uwierzytelnienia, jeśli formularz jest publiczny.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Strong Testimonials do najnowszej wersji z poprawką. Należy również rozważyć usunięcie lub zabezpieczenie niestandardowych pól 'platform' i 'platform_user_photo'.
Inne podatności w Strong Testimonials
Zobacz wszystkie- CVE-2026-114706Średnie
Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce Strong Testimonials firmy WP Chill pozwala na przechowywany XSS. Podatność dotyczy wersji do 3.3.15 włącznie.
- CVE-2026-112843Średnie
W wtyczce WordPress Strong Testimonials (do wersji 3.3.14) występuje brak autoryzacji, co pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Luka umożliwia nieuprawniony dostęp do funkcji lub danych objętych kontrolą dostępu.
- CVE-2026-107436Wysokie
Wtyczka Strong Testimonials dla WordPressa (do wersji 3.3.12) jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektu (Object Injection). Atakujący może przesłać złośliwe dane, które zostaną zdeserializowane przez aplikację.
- CVE-2026-109897Średnie
Wtyczka WordPress 'Strong Testimonials' (wersje do 3.3.12) zawiera podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-110371Średnie
Wtyczka Strong Testimonials firmy WP Chill zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 3.3.12.
- CVE-2026-97286Średnie
Wtyczka Strong Testimonials (do wersji 3.3.11) ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
- CVE-2026-92622Średnie
Wtyczka Strong Testimonials dla WordPress jest podatna na trwałe Cross-Site Scripting poprzez atrybut shortcode 'lightbox_class' we wszystkich wersjach do 3.3.8 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelnieni atakujący z uprawnieniami współpracownika mogą wstrzykiwać skrypty wykonujące się przy dostępie do strony.
- CVE-2026-3239Średnie
Wtyczka Strong Testimonials dla WordPress w wersjach do 3.2.21 zawiera podatność na trwałe XSS poprzez shortcode testimonial_view z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia na atrybutach dostarczonych przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2025-11268Średnie
Wtyczka Strong Testimonials dla WordPressa do wersji 3.2.16 jest podatna na arbitralne wykonanie shortcode'ów. Użytkownicy mogą przesyłać testimonial z wartością, która nie jest odpowiednio walidowana ani sanityzowana przed przekazaniem do funkcji do_shortcode. Niezautentykowani atakujący mogą wykonać arbitralne shortcode'y, jeśli administrator podgląda lub publikuje spreparowany testimonial.
Oryginalny opis (angielski, źródło NVD)
The Strong Testimonials plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'platform_user_photo' Custom Field in all versions up to, and including, 3.3.11 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that an administrator has added custom text fields named 'platform' and 'platform_user_photo' to a public testimonial submission form, as the plugin does not reserve those internal metadata keys.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS