CVE-2025-11241

ŚrednieCVSS 6.4

Opublikowano: 03/10/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 24 - wyżej niż 24% wszystkich znanych CVE

Streszczenie

Wtyczka Yoast SEO Premium dla WordPress w wersjach 25.7 do 25.9 jest podatna na przechowywany XSS z powodu wadliwego wyrażenia regularnego używanego do usuwania atrybutów w treści posta. Można to wykorzystać do wstrzyknięcia dowolnych atrybutów HTML, w tym obsługi zdarzeń JavaScript. Użytkownik z uprawnieniami Contributor lub wyższymi może utworzyć post zawierający złośliwy ładunek JavaScript.

Ocena ryzyka

Możliwe jest wykonanie złośliwego kodu JavaScript w przeglądarce użytkownika, co może prowadzić do przejęcia sesji lub kradzieży danych. Wymaga to jednak uprawnień do tworzenia treści.

Rekomendacja

Zaktualizuj wtyczkę Yoast SEO Premium do najnowszej wersji. Rozważ ograniczenie uprawnień Contributorów do czasu aktualizacji.

Inne podatności w Yoast SEO Premium

CVE-2026-10821Średnie
Wtyczka Yoast SEO Premium dla WordPressa przed wersją 27.6.1 nie sanityzuje znaków kontrolnych z źródeł przekierowań przed zapisaniem ich do pliku konfiguracyjnego Apache, gdy włączony jest tryb przekierowań oparty na plikach, a punkt końcowy tworzenia przekierowań jest dostępny dla użytkowników z dostępem na poziomie Autora. Pozwala to takim użytkownikom wstrzykiwać dowolne dyrektywy Apache oddzielone nowymi liniami do głównego pliku .htaccess. Na serwerach Apache honorujących dyrektywy PHP, wstrzyknięcie może być połączone z własnym przesłanym plikiem multimedialnym (obraz poliglotyczny z ładunkiem PHP) i dyrektywą auto_prepend_file, aby osiągnąć zdalne wykonanie kodu.

Oryginalny opis (angielski, źródło NVD)

The Yoast SEO Premium plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions 25.7 to 25.9 due to a flawed regex used to remove an attribute in post content, which can be abused to inject arbitrary HTML attributes, including JavaScript event handlers. This vulnerability allows a user with Contributor access or higher to create a post containing a malicious JavaScript payload.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS