CVE-2025-11268
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Strong Testimonials dla WordPressa do wersji 3.2.16 jest podatna na arbitralne wykonanie shortcode'ów. Użytkownicy mogą przesyłać testimonial z wartością, która nie jest odpowiednio walidowana ani sanityzowana przed przekazaniem do funkcji do_shortcode. Niezautentykowani atakujący mogą wykonać arbitralne shortcode'y, jeśli administrator podgląda lub publikuje spreparowany testimonial.
Ocena ryzyka
Arbitralne wykonanie shortcode'ów może pozwolić atakującemu na wykonanie nieautoryzowanych działań w kontekście WordPressa, takich jak modyfikacja treści, kradzież danych lub przejęcie kontroli nad witryną.
Rekomendacja
Należy zaktualizować wtyczkę Strong Testimonials do najnowszej wersji. Dodatkowo administratorzy powinni zachować ostrożność przy podglądaniu i publikowaniu testimoniali od użytkowników.
Inne podatności w Strong Testimonials
Zobacz wszystkie- CVE-2026-96650Wysokie
Wtyczka Strong Testimonials dla WordPressa jest podatna na przechowywane ataki XSS przez pole niestandardowe 'platform_user_photo' w wersjach do 3.3.11 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak wymaga, aby administrator dodał pola tekstowe 'platform' i 'platform_user_photo' do publicznego formularza zgłoszeń.
- CVE-2026-97286Średnie
Wtyczka Strong Testimonials (do wersji 3.3.11) ma podatność na Stored XSS z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
- CVE-2026-92622Średnie
Wtyczka Strong Testimonials dla WordPress jest podatna na trwałe Cross-Site Scripting poprzez atrybut shortcode 'lightbox_class' we wszystkich wersjach do 3.3.8 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Uwierzytelnieni atakujący z uprawnieniami współpracownika mogą wstrzykiwać skrypty wykonujące się przy dostępie do strony.
- CVE-2026-3239Średnie
Wtyczka Strong Testimonials dla WordPress w wersjach do 3.2.21 zawiera podatność na trwałe XSS poprzez shortcode testimonial_view z powodu niedostatecznej sanityzacji wejścia i ucieczki wyjścia na atrybutach dostarczonych przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą wstrzykiwać dowolne skrypty webowe na stronach, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Strong Testimonials plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 3.2.16. This is due to the software allowing users to submit a testimonial in which a value is not properly validated or sanitized prior to being passed to a do_shortcode call. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes if an administrator previews or publishes a crafted testimonial.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS