CVE-2026-97344
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Wp Social Login and Register Social Counter dla WordPressa w wersjach do 3.2.1 włącznie jest podatna na trwałe XSS przez atrybut alt awatara i zapis dowolnych metadanych użytkownika z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Atakujący musi wywołać endpoint dismiss_ajax_call (nonce dostępny dla subskrybentów) aby ustawić flagę meta xs_social_profile_image, a następnie ustawić nazwę wyświetlaną na ładunek skryptu.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami co najmniej subskrybenta może wstrzyknąć dowolne skrypty do stron, które wykonają się w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę.
Rekomendacja
Zaktualizuj wtyczkę Wp Social Login and Register Social Counter do wersji nowszej niż 3.2.1 lub wyłącz ją do czasu wydania poprawki.
Inne podatności w Wp Social Login and Register Social Counter
Zobacz wszystkie- CVE-2026-103898Wysokie
Wtyczka Wp Social Login and Register Social Counter dla WordPressa (do wersji 3.2.2) jest podatna na obejście uwierzytelniania. Callback REST logowania społecznościowego lokalizuje konto po adresie e-mail zwróconym przez dostawcę OAuth i ustawia ciasteczko uwierzytelniające bez sprawdzania hasła, a jedyny warunek weryfikacji jest nieskuteczny dla wbudowanych adapterów Facebook i Twitter. Umożliwia to nieuwierzytelnionemu atakującemu uzyskanie sesji dowolnego użytkownika, w tym administratora, jeśli kontroluje konto OAuth o pasującym adresie e-mail.
- CVE-2025-13620Średnie
Wtyczka Wp Social Login and Register Social Counter dla WordPress w wersjach do 3.1.3 włącznie jest podatna na brak autoryzacji. Wynika to z tras REST wslu/v1/check_cache/{type}, wslu/v1/save_cache/{type} i wslu/v1/settings/clear_counter_cache, które są zarejestrowane z permission_callback ustawionym na __return_true i nie mają walidacji uprawnień ani nonce w swoich handlerach. Umożliwia to nieuwierzytelnionym atakującym czyszczenie lub nadpisywanie pamięci podręcznej liczników społecznościowych za pomocą spreparowanych żądań REST.
Oryginalny opis (angielski, źródło NVD)
The Wp Social Login and Register Social Counter plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Avatar Alt Attribute via Arbitrary User Meta Write in all versions up to, and including, 3.2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the attacker to chain two steps: invoking the nonce-only dismiss_ajax_call endpoint (nonce accessible to Subscribers via any wp-admin page) to set the xs_social_profile_image meta flag on their own account, which activates the unescaped img output branch in xs_social_get_avatar, and then setting their display name to a script payload that core's ENT_NOQUOTES handling preserves unescaped.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS