CVE-2026-92424
Content Egg < 11.9.0 - Import Queue के माध्यम से Contributor+ Stored XSS
- प्रकाशित
- 30 सित॰ 2026
- अद्यतन
- 30 सित॰ 2026
- सीएनए असाइन करना
- WPScan
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 13.8%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress प्लगइन Content Egg 11.9.0 से पहले यह सत्यापित नहीं करता कि अपनी बल्क कंटेंट-इम्पोर्ट सुविधा चलाने वाला उपयोगकर्ता उस इम्पोर्ट प्रीसेट के लिए अधिकृत है जिसे वह चुनता है, और परिणामी पोस्ट बनाने से पहले प्रीसेट लेखक की पहचान पर स्विच कर देता है, जिससे contributor-स्तर और उससे ऊपर की पहुँच वाले उपयोगकर्ता किसी विशेषाधिकार प्राप्त उपयोगकर्ता के खाते के अंतर्गत बिना फ़िल्टर किए मनमानी वेब स्क्रिप्ट संग्रहीत कर सकते हैं, जो बाद में उस कंटेंट को देखने वाले किसी भी व्यक्ति के संदर्भ में निष्पादित होती हैं।
स्रोत
CVE-2026-92424 के लिए एडवाइज़री और प्रूफ़-ऑफ़-कॉन्सेप्ट, जो Content Egg WordPress प्लगइन में Contributor-स्तर का स्टोर्ड XSS है, जो पोस्ट डालने से पहले एडमिन का रूप धारण करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।