CVE-2026-9677
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 — wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Shariff for WordPress do wersji 1.0.11 nie oczyszcza ani nie koduje ustawienia shariff_infourl przed wyświetleniem go w kodzie HTML frontendu za pomocą funkcji generateshariff(). Umożliwia to użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS), nawet gdy możliwość unfiltered_html jest wyłączona (np. w konfiguracji multisite).
Ocena ryzyka
Atakujący z uprawnieniami administratora może wstrzyknąć złośliwy skrypt JavaScript, który wykona się w przeglądarkach innych użytkowników odwiedzających stronę, prowadząc do kradzieży sesji, defacementu lub dalszej eskalacji ataku.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Shariff for WordPress do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą. Jeśli aktualizacja nie jest dostępna, należy tymczasowo wyłączyć wtyczkę lub ograniczyć dostęp do ustawień wtyczki tylko dla zaufanych administratorów.
Oryginalny opis (angielski, źródło NVD)
The Shariff for WordPress Shariff for WordPress plugin through 1.0.11 does not sanitize or escape the shariff_infourl setting before outputting it in the frontend HTML via the generateshariff() function, which could allow high privilege users such as admin to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in multisite setup).