CVE-2026-92424
Content Egg < 11.9.0 – Contributor+ gespeichertes XSS über Import-Warteschlange
- Veröffentlicht
- 30.09.2026
- Aktualisiert
- 30.09.2026
- CNA zuweisen
- WPScan
- Beweise beobachtet
- 04.11.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 13,8 %
- Modelldatum
- 04.11.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Das WordPress-Plugin Content Egg vor 11.9.0 prüft nicht, ob ein Benutzer, der seine Funktion zum Massenimport von Inhalten ausführt, für die von ihm ausgewählte Import-Voreinstellung berechtigt ist, und wechselt vor dem Erstellen des resultierenden Beitrags zur Identität des Autors der Voreinstellung. Dadurch können Benutzer mit Zugriff auf Beitragsebene und höher beliebige Web-Skripte ungefiltert unter dem Konto eines privilegierten Benutzers speichern, die im Kontext jedes späteren Betrachters dieser Inhalte ausgeführt werden.
Quellen
Advisory und Proof-of-Concept für CVE-2026-92424, ein auf Contributor-Ebene gespeichertes XSS im WordPress-Plugin Content Egg, das sich als Administrator ausgibt, bevor Beiträge eingefügt werden.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.