CVE-2025-10691

ŚrednieCVSS 4.3

Opublikowano: 06/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Easy Email Subscription we wszystkich wersjach do 1.3 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji show_editsub_page(). Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych subskrybentów poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Ocena ryzyka

Atakujący może usunąć subskrybentów bez ich zgody, co prowadzi do utraty danych i zakłócenia komunikacji. Może to zaszkodzić reputacji i relacjom z klientami.

Rekomendacja

Zaktualizuj wtyczkę Easy Email Subscription do wersji nowszej niż 1.3, gdy tylko będzie dostępna. Do czasu aktualizacji rozważ wyłączenie wtyczki i edukuj administratorów w zakresie klikania nieznanych linków.

Inne podatności w Easy Email Subscription

CVE-2025-10683Średnie
Wtyczka Easy Email Subscription dla WordPressa (wszystkie wersje do 1.3 włącznie) jest podatna na wstrzyknięcie SQL poprzez parametr 'uid' z powodu niewystarczającego escapowania danych wejściowych i braku przygotowania zapytania SQL. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może dołączyć dodatkowe zapytania SQL, aby wyodrębnić poufne informacje z bazy danych.

Oryginalny opis (angielski, źródło NVD)

The Easy Email Subscription plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.3. This is due to missing or incorrect nonce validation on the show_editsub_page() function. This makes it possible for unauthenticated attackers to delete arbitrary subscribers via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS