CVE-2026-108041: falha de alta gravidade em SEOPress
SEOPress < 10.4 - Authenticated Stored XSS via Analytics Tracking Settings
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 7.1epss 0.2%
The SEOPress WordPress plugin before 10.4 does not sanitise and escape some of its analytics tracking settings before outputting them in an inline script printed on every front-end page, allowing users granted a SEOPress WordPress plugin before 10.4 capability that an administrator can delegate to lower-privileged roles to perform Stored Cross-Site Scripting attacks that execute in the browser of any site visitor, including a logged-in administrator viewing the front end.
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
Unknown · SEOPressPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/5776859a-d381-4e89-b263-4e22a74bfa83/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — SEOPress
No mesmo produto, das mais perigosas para as menos.
CVE-2023-1669HIGHSEOPress < 6.5.0.3 - Admin+ PHP Object InjectionEPSS 17.7%CVE-2024-5488CRITICALSEOPress < 7.9 - Unauthenticated Object InjectionEPSS 3.7%CVE-2023-6290MEDIUMWP SEO Press < 7.3 - Admin+ Stored XSSEPSS 0.4%CVE-2024-4899MEDIUMSEOPress < 7.8 - Contributor+ Stored XSSEPSS 0.3%CVE-2024-4900MEDIUMSEOPress < 7.8 - Contributor+ Open RedirectEPSS 0.3%