CVE-2025-10683

ŚrednieCVSS 4.9

Opublikowano: 06/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka Easy Email Subscription dla WordPressa (wszystkie wersje do 1.3 włącznie) jest podatna na wstrzyknięcie SQL poprzez parametr 'uid' z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może dołączyć dodatkowe zapytania SQL, aby wyodrębnić poufne informacje z bazy danych.

Ocena ryzyka

Atakujący z uprawnieniami administratora może wykraść poufne dane z bazy danych WordPressa, w tym dane subskrybentów i inne wrażliwe informacje.

Rekomendacja

Zaktualizuj wtyczkę Easy Email Subscription do wersji nowszej niż 1.3. Ogranicz liczbę kont z uprawnieniami administratora i regularnie przeglądaj logi bazy danych.

Inne podatności w Easy Email Subscription

CVE-2025-10691Średnie
Wtyczka WordPress Easy Email Subscription we wszystkich wersjach do 1.3 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji show_editsub_page(). Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych subskrybentów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Oryginalny opis (angielski, źródło NVD)

The Easy Email Subscription plugin for WordPress is vulnerable to SQL Injection via the 'uid' parameter in all versions up to, and including, 1.3 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Administrator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS