CVE-2026-86794：Community Events 外掛 1.4.9–1.5.9 允許未授權使用者注入儲存型 XSS
CVE-2026-86794 - Community Events 1.4.9 - 1.5.9 - Unauthenticated Stored XSS via Event Submission Form
Community Events WordPress 外掛 1.4.9–1.5.9 允許未授權使用者注入儲存型 XSS，可能使管理員瀏覽器執行惡意指令碼。
此 CVE 影響 WordPress 社群活動外掛，提醒使用者即時升級至 1.6.0 以避免未授權的 XSS 攻擊，並檢查管理設定以提升安全性，確保網站管理員的瀏覽器不被執行惡意指令碼，降低管理介面被盜用風險。
譯文尚未完整，完整內容請切換至原文。
Community Events WordPress 外掛在 1.6.0 之前處理公開活動提交時，未做授權或 nonce 檢查，且在輸出至管理後臺與公開行事曆前，未對多個提交值進行轉義，導致未經驗證的使用者能注入任意網頁尾本，這些指令碼會在審核提交的管理員瀏覽器中執行。
影響
受影響產品
以下產品受 CVE-2026-86794 漏洞影響。即使 cvefeed.io 知道受影響產品的確切版本，該資訊亦未在下表中呈現。
| ID | 供應商 | 產品 | 處置 |
|---|---|---|---|
| 1 | Community_events_project | community_events |
Common Vulnerability Scoring System（CVSS）是一套標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們會收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重性 | 向量 | 利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS | 134c704f-9b21-4f2e-91b3-4a467353bcc0 | |||||
| CVSS 3.1 | 高 | 134c704f-9b21-4f2e-91b3-4a467353bcc0 |
將 Community Events 外掛更新至 1.6.0 或更高版本，以修補授權與指令碼注入缺陷。
- 將 Community Events 外掛更新至 1.6.0 或更高版本。
- 請即時套用供應商修補程式或更新。
- 檢閱外掛設定，確保安全組態。
此處列出精選外部連結，提供關於 CVE-2026-86794 的深入資訊、實用解決方案與有價值工具。
| URL | 資源 |
|---|---|
| https://wpscan.com/vulnerability/058aa2e1-0b9c-431f-b0e4-4e93e4977a63/ |
雖然 CVE 針對特定漏洞例項，但 CWE 將可能導致漏洞的共通缺陷或弱點分類。CVE-2026-86794 與以下 CWE 相關：
Common Attack Pattern Enumeration and Classification（CAPEC）儲存攻擊模式，描述攻擊者為利用 CVE-2026-86794 弱點所採用的共通特徵與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下清單為已於 GitHub 釋出的公開攻擊與概念驗證，按最近更新時間排序。
由於潛在的效能問題，結果僅顯示前 15 個倉庫。
以下清單為在文章中提及 CVE-2026-86794 漏洞的新聞。
以下表格列出 CVE-2026-86794 漏洞隨時間所做的變更。
漏洞歷史細節對於瞭解漏洞的演變以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更非常有用。
-
CVE 已修改 由 134c704f-9b21-4f2e-91b3-4a467353bcc0
十月. 29, 2026
動作 型別 舊值 新值 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H 新增 CWE CWE-79 新增 SSVC {'id': 'CVE-2026-86794', 'role': 'CISA Coordinator', 'options': [{'exploitation': 'none'}, {'automatable': 'no'}, {'technicalImpact': 'partial'}], 'version': '2.0.3', 'timestamp': '2026-10-29T10:47:52.999713Z'} -
收到新 CVE 由 [email protected]
十月. 29, 2026
動作 型別 舊值 新值 新增 描述 Community Events WordPress 外掛在 1.6.0 之前的版本，在處理公開活動提交時未進行授權或 nonce 檢查，也未在輸出至管理儀錶板和公開日曆前對多個提交值進行轉義，導致未經身份驗證的使用者能夠注入任意網頁尾本，這些指令碼將在審核提交的管理員瀏覽器中執行。 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/86xxx/CVE-2026-86794.json">CVE-2026-86794</a> 新增 參考 https://wpscan.com/vulnerability/058aa2e1-0b9c-431f-b0e4-4e93e4977a63/
EPSS 是對未來 30 天內觀測到利用活動機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。