CVE-2026-92424
Content Egg < 11.9.0 - XSS memorizzato tramite coda di importazione, con privilegi di Collaboratore+
- Pubblicato
- 30 set 2026
- Aggiornato
- 30 set 2026
- Assegnazione CNA
- WPScan
- Evidenza osservata
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 13,8%
- Data del modello
- 4 nov 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il plugin WordPress Content Egg prima della versione 11.9.0 non verifica che un utente che esegue la funzione di importazione massiva dei contenuti sia autorizzato per il preset di importazione selezionato, e passa all'identità dell'autore del preset prima di creare il post risultante, consentendo agli utenti con accesso di livello contributor e superiore di memorizzare script web arbitrari senza filtri sotto l'account di un utente privilegiato, che vengono eseguiti nel contesto di chiunque visualizzi successivamente tali contenuti.
Fonti
Avviso e proof-of-concept per CVE-2026-92424, una XSS memorizzata a livello Contributor nel plugin WordPress Content Egg che si finge amministratore prima di inserire i post.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.