CVE-2026-96870
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'display_name' we wszystkich wersjach do 1.12.0 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się gdy użytkownik najedzie na licznik polubień komentarza, ponieważ handler tooltipa przypisuje wartość atrybutu data-tooltip-description bezpośrednio do innerHTML.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści. Ryzyko dotyczy stron społecznościowych z tą wtyczką.
Rekomendacja
Zaktualizuj wtyczkę SureDash do wersji nowszej niż 1.12.0. Jeśli aktualizacja nie jest dostępna, wyłącz wtyczkę lub ogranicz możliwość rejestracji i komentowania.
Inne podatności w SureDash
Zobacz wszystkie- CVE-2026-57401Krytyczne
Wtyczka SureDash dla WordPressa zawiera podatność na path traversal, która pozwala atakującemu na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji do 1.8.0 włącznie.
- CVE-2026-115604Średnie
W wtyczce SureDash w wersjach do 1.12.3 występuje podatność umożliwiająca użytkownikowi z rolą subskrybenta usuwanie dowolnych plików.
- CVE-2026-115605Średnie
Brak autoryzacji w wtyczce SureDash firmy Brainstorm Force pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.12.3 włącznie.
- CVE-2026-110881Średnie
Nieprawidłowa neutralizacja danych wejściowych podczas generowania stron internetowych (Cross-site Scripting) w wtyczce SureDash firmy Brainstorm Force pozwala na przechowywany XSS. Podatność dotyczy wersji do 1.12.3 włącznie.
- CVE-2026-110892Średnie
Wtyczka WordPress 'SureDash' (wersje do 1.12.2) ma brakującą autoryzację, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonać akcje, do których nie powinien mieć uprawnień.
- CVE-2026-110894Średnie
Wtyczka SureDash firmy Brainstorm Force ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.12.2 włącznie.
- CVE-2026-110893Średnie
Wtyczka SureDash (Brainstorm Force) w wersjach do 1.12.2 zawiera podatność typu Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-102774Średnie
Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPress jest podatna na trwałe DOM-based Cross-Site Scripting poprzez atrybut 'alt' obrazu w treści postów społeczności we wszystkich wersjach do 1.12.1 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-18402Średnie
Wtyczka SureDash – Community, Courses & Member Dashboard dla WordPressa do wersji 1.10.3 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'draweropenverposition'. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony. Payload jest przechowywany w JSON w komentarzu HTML, a brak esc_attr() pozwala na złamanie atrybutu.
- CVE-2026-66698Wysokie
Wtyczka SureDash w wersji 1.10.1 i wcześniejszych zawiera podatność na nieuwierzytelnione Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary bez konieczności logowania.
Oryginalny opis (angielski, źródło NVD)
The SureDash – Community, Courses & Member Dashboard plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'display_name' parameter in all versions up to, and including, 1.12.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit is triggered when any user hovers over a comment's like counter on a community page, as the plugin's tooltip handler assigns the attacker-controlled data-tooltip-description attribute value directly to innerHTML, re-parsing the browser-decoded entity payload as live HTML.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS