Platform
wordpress
Component
prismatic
Opgelost in
3.7.4
3.7.4
CVE-2026-3876 beschrijft een Stored Cross-Site Scripting (XSS) kwetsbaarheid in de Prismatic plugin voor WordPress. Deze kwetsbaarheid stelt een niet-geauthenticeerde aanvaller in staat om willekeurige webscripts te injecteren in pagina's door een commentaar te plaatsen met een speciaal ontworpen 'prismatic_encoded' pseudo-shortcode. De kwetsbaarheid treft alle versies van de plugin tot en met 3.7.3. Een upgrade naar versie 3.7.4 is beschikbaar om dit probleem te verhelpen.
Een succesvolle exploitatie van CVE-2026-3876 kan leiden tot het uitvoeren van kwaadaardige JavaScript-code in de context van de gebruiker die de geïnjecteerde pagina bezoekt. Dit kan worden gebruikt om sessiecookies te stelen, gebruikers om te leiden naar phishing-pagina's, of om de website te defacen. De impact is aanzienlijk, aangezien de kwetsbaarheid niet vereist dat de aanvaller geauthenticeerd is, waardoor een breed scala aan WordPress-gebruikers kwetsbaar is. Het misbruik kan leiden tot volledige controle over de gebruikersaccount en mogelijk toegang tot gevoelige gegevens die op de website zijn opgeslagen.
De kwetsbaarheid is openbaar bekend gemaakt op 2026-04-16. Er zijn momenteel geen bekende actieve campagnes die deze specifieke kwetsbaarheid misbruiken, maar de eenvoud van de exploitatie maakt het waarschijnlijk dat dit in de toekomst zal gebeuren. Er zijn publieke Proof-of-Concept (POC) exploits beschikbaar, wat de kans op misbruik vergroot. De NVD en CISA hebben deze kwetsbaarheid nog niet opgenomen, maar dit kan veranderen.
Websites using the Prismatic WordPress plugin, especially those with public comment sections or forums, are at risk. Shared hosting environments where multiple WordPress sites share the same server resources are particularly vulnerable, as a compromise on one site could potentially impact others.
• wordpress / composer / npm:
grep -r 'prismatic_encoded' /var/www/html/wp-content/plugins/prismatic/• wordpress / composer / npm:
wp plugin list | grep prismatic• wordpress / composer / npm:
wp plugin update prismatic• generic web: Inspect comment fields for suspicious shortcode usage, particularly those containing encoded characters.
disclosure
Exploit Status
EPSS
0.02% (6% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2026-3876 is het upgraden van de Prismatic WordPress plugin naar versie 3.7.4 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan het tijdelijk uitschakelen van de plugin of het beperken van de toegang tot de commentaarsectie van de website. Het implementeren van een Web Application Firewall (WAF) met regels die XSS-pogingen detecteren en blokkeren, kan ook helpen om de risico's te verminderen. Controleer de WordPress-configuratie op extra beveiligingsmaatregelen, zoals Content Security Policy (CSP), om de impact van potentiële XSS-aanvallen te beperken.
Update naar versie 3.7.4, of een nieuwere gepatchte versie
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-3876 is a Stored XSS vulnerability in the Prismatic WordPress plugin, allowing attackers to inject malicious scripts via the 'prismatic_encoded' shortcode.
You are affected if you are using Prismatic WordPress plugin versions prior to 3.7.4. Check your plugin version and upgrade immediately.
Upgrade the Prismatic WordPress plugin to version 3.7.4 or later. If immediate upgrade is not possible, disable the plugin as a temporary workaround.
There are currently no known active campaigns exploiting CVE-2026-3876, but prompt remediation is still recommended.
Refer to the Prismatic plugin's official website or WordPress plugin repository for the latest advisory and update information.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.