CVE-2025-4224
HighSummary
Wtyczka wpForo oraz wpForo Advanced Attachments dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez nazwy przesyłanych mediów we wszystkich wersjach do 3.1.3 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyżej wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.
Risk Assessment
Ryzyko dla organizacji polega na możliwości wykonania złośliwego kodu przez atakujących, co może prowadzić do kradzieży danych użytkowników lub przejęcia kontroli nad kontami. Atakujący mogą wykorzystać tę podatność do szkodzenia reputacji organizacji oraz jej użytkowników.
Recommendation
Zaleca się aktualizację wtyczki wpForo oraz wpForo Advanced Attachments do najnowszej wersji, aby usunąć tę podatność. Dodatkowo warto przeprowadzić audyt bezpieczeństwa aplikacji w celu zidentyfikowania i naprawienia innych potencjalnych luk.
Related vulnerabilities
- CVE-2026-101001Critical
Vulnerability in Netcore NBR200V2 1.3.241127.071246 in the eval function of /www/cgi-bin/network_tools in the web management interface. Manipulation of the QUERY_STRING argument leads to OS command injection. Remote attack possible, exploit publicly available.
- CVE-2026-101000Critical
Vulnerability in Netcore NBR100V2 1.3.240614.030928 in the uci.apply function of /usr/share/rpcd/acl.d/unauthenticated.json in the ACL Handler component. Manipulation of the section argument leads to missing authorization. Remote attack possible, exploit publicly disclosed.
- CVE-2026-100896Critical
Vulnerability in TOTOLINK N150RT 3.4.0-B20201030 in the system function of /boafrm/formWlSiteSurvey in the web management interface. Manipulation of the wlanif argument leads to OS command injection. Remote attack possible, exploit publicly available.
- CVE-2026-100886Critical
A vulnerability was identified in Seetong T8108, T8108P, T8116 and T8232 version 4.6.1.4-build202604241011. The affected element is an unknown function of the Debug Service component, leading to improper authentication. The attack can be launched remotely and the exploit is publicly available.
- CVE-2026-101090Critical
Nezha 2.2.3 contains a Host header injection regression in the OAuth2 redirect endpoint. When the dashboard_host setting is empty, /api/v1/oauth2/{provider} reflects the attacker-supplied Host header into the redirect_uri. An attacker can steal the victim's authorization code and take over the account.
- CVE-2026-101084Critical
obot versions before v0.21.1 fail to enforce Access Control Rules on the /mcp-connect endpoint, allowing any authenticated user to connect to restricted MCP servers if they possess the server ID. Attackers can bypass authorization to access sensitive backend systems.
- CVE-2026-101065Critical
Obot up to commit d7e6970, when started via the Docker quickstart from README, listens on 0.0.0.0:8080 with authentication disabled. Every request is mapped to a synthetic 'nobody' user with Owner and Admin roles, granting full administrative access. The quickstart also mounts /var/run/docker.sock, giving access to the host's Docker control surface.
- CVE-2026-88773Critical
HTTP Request/Response Smuggling vulnerability in Citrix NetScaler ADC and Gateway due to inconsistent interpretation of HTTP requests.
- CVE-2026-88772CriticalActively exploited
Vulnerability in Citrix NetScaler ADC and Gateway leading to Remote Code Execution or Denial of Service.
- CVE-2026-88771CriticalActively exploited
Improper input validation in Citrix NetScaler ADC and Gateway allows an unauthenticated attacker to execute arbitrary commands.
Original NVD description (English source)
The wpForo + wpForo Advanced Attachments plugin for WordPress is vulnerable to Stored Cross-Site Scripting via media upload names in all versions up to, and including, 3.1.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Vulnerability data from NVD (NIST) · CISA KEV · EPSS