CVE-2026-17532
Seraphinite Accelerator <= 2.29.18 - Cross-Site Scripting Refletido
- Publicado
- 5 de ago. de 2026
- Atualizado
- 5 de ago. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 26 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NBaixo · próximos 30 dias
- Percentil
- 55,2%
- Data do modelo
- 21 de set. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin Seraphinite Accelerator para WordPress é vulnerável a Cross-Site Scripting Refletido por meio do parâmetro 'seraph_accel_prep' nas versões até, e incluindo, a 2.29.15. Isso se deve à função CacheExtractPreparePageParams() que usa o operador de desigualdade frouxa do PHP (!=) para comparar a string HMAC esperada com o valor 'nonce' decodificado em JSON — fornecer o booleano JSON true faz com que qualquer string HMAC não vazia seja comparada como frouxamente igual, contornando a verificação de assinatura — combinado com a insuficiente escape de saída na função _CbContentFinishSkip(), que concatena o campo 'selfTest' controlado pelo atacante diretamente no corpo da resposta HTML. Isso possibilita que atacantes não autenticados injetem scripts web arbitrários em páginas que são executados se conseguirem enganar um usuário para realizar uma ação como clicar em um link especialmente criado.
Fontes
2- CVE-2026-17532-labExploit
Docker lab demonstrando o CVE-2026-17532, um XSS refletido não autenticado no Seraphinite Accelerator que encadeia para RCE via sessão de administrador, com script de exploit e web shell.
Seraphinite Accelerator <= 2.29.18 - PoC de Cross-Site Scripting Refletido
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.