CVE-2025-11003

ŚrednieCVSS 6.4

Opublikowano: 21/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka UiPress lite dla WordPressa w wersjach do 3.5.09 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzania uprawnień w funkcji 'uip_save_ui_template'. Uwierzytelniony atakujący z rolą subskrybenta lub wyższą może zapisywać szablony zawierające własny kod JavaScript.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może wstrzyknąć złośliwy kod JavaScript do szablonów, co może prowadzić do ataków XSS i przejęcia sesji użytkowników. Ryzyko dotyczy wszystkich witryn WordPress z zainstalowaną podatną wersją wtyczki.

Rekomendacja

Zaktualizuj wtyczkę UiPress lite do wersji nowszej niż 3.5.09 lub ją usuń, jeśli nie jest używana. Dodatkowo rozważ przegląd istniejących szablonów pod kątem nieautoryzowanych modyfikacji.

Inne podatności w UiPress lite

CVE-2025-10938Średnie
Wtyczka UiPress lite dla WordPressa w wersjach do 3.5.08 włącznie jest podatna na ujawnienie poufnych informacji. Przyczyną jest brak sprawdzania uprawnień w funkcji AJAX 'uip_process_block_query'. Uwierzytelniony atakujący z rolą subskrybenta lub wyższą może wyodrębnić poufne dane użytkowników, w tym hashe haseł, adresy e-mail i inne informacje umożliwiające przejęcie konta.

Oryginalny opis (angielski, źródło NVD)

The UiPress lite | Effortless custom dashboards, admin themes and pages plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'uip_save_ui_template' function in all versions up to, and including, 3.5.09. This makes it possible for authenticated attackers, with Subscriber-level access and above, to save templates that contain custom JavaScript.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS