CVE-2025-10580

ŚrednieCVSS 6.4

Opublikowano: 25/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Widget Options dla WordPressa jest podatna na przechowywany atak XSS poprzez wiele funkcji we wszystkich wersjach do 4.1.2 włącznie. Brak odpowiedniego oczyszczania wejścia i wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony.

Ocena ryzyka

Wstrzyknięte skrypty mogą wykonywać się w przeglądarkach użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub ataków phishingowych.

Rekomendacja

Zaktualizuj wtyczkę Widget Options do najnowszej wersji, która zawiera poprawkę. Ogranicz uprawnienia kont i monitoruj treści pod kątem niebezpiecznych skryptów.

Inne podatności w Widget Options

CVE-2026-54823Krytyczne
W wersjach Widget Options do 4.2.3 występuje podatność na zdalne wykonanie kodu (RCE), która może być wykorzystana przez atakującego.

Oryginalny opis (angielski, źródło NVD)

The Widget Options – The #1 WordPress Widget & Block Control Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via multiple functions in all versions up to, and including, 4.1.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS