CVE-2025-10490
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Zephyr Project Manager dla WordPress jest podatna na Stored Cross-Site Scripting poprzez ustawienia administracyjne we wszystkich wersjach do 3.3.202 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność dotyczy tylko instalacji multi-site oraz instalacji, w których wyłączono unfiltered_html.
Ocena ryzyka
Atakujący z uprawnieniami administratora może wstrzyknąć złośliwe skrypty, które zostaną wykonane w przeglądarkach innych użytkowników, co może prowadzić do kradzieży danych lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę Zephyr Project Manager do wersji nowszej niż 3.3.202, która zawiera poprawkę podatności.
Inne podatności w Zephyr Project Manager
Zobacz wszystkie- CVE-2026-76931Średnie
Wtyczka Zephyr Project Manager dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'message' we wszystkich wersjach do 3.3.205 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony, ale tylko gdy wyłączona jest opcja 'Directly link to project'.
- CVE-2025-12496Średnie
Wtyczka Zephyr Project Manager dla WordPress jest podatna na Directory Traversal we wszystkich wersjach do 3.3.203 włącznie, poprzez parametr `file`. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Custom i wyższym odczyt dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje. Na serwerach z włączonym `allow_url_fopen` podatność umożliwia również Server-Side Request Forgery (SSRF).
Oryginalny opis (angielski, źródło NVD)
The Zephyr Project Manager plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 3.3.202 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS