CVE-2025-11377

ŚrednieCVSS 4.3

Opublikowano: 01/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka List category posts dla WordPressa jest podatna na ujawnienie informacji we wszystkich wersjach do 0.92.0 włącznie poprzez shortcode 'catlist' z powodu niewystarczających ograniczeń dotyczących tego, które posty mogą być dołączone. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wyodrębnić dane z postów chronionych hasłem, prywatnych lub szkiców, do których nie powinien mieć dostępu.

Ocena ryzyka

Atakujący z kontem Contributor może uzyskać dostęp do poufnych informacji, takich jak prywatne posty lub szkice, co może prowadzić do wycieku danych. Może to naruszyć poufność treści organizacji.

Rekomendacja

Zaktualizuj wtyczkę List category posts do wersji nowszej niż 0.92.0. Ogranicz uprawnienia Contributor i regularnie przeglądaj uprawnienia do treści.

Inne podatności w List category posts

CVE-2026-12434Średnie
Wtyczka List category posts dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 0.95.0 włącznie, poprzez funkcję sanitize_status. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym, wyodrębnienie tytułów, pełnej treści, fragmentów, dat, autorów i metadanych pól niestandardowych oczekujących na recenzję, zaplanowanych i usuniętych postów innych użytkowników, poprzez osadzenie spreparowanego shortcode'u [catlist] we własnym szkicu i jego podgląd.

Oryginalny opis (angielski, źródło NVD)

The List category posts plugin for WordPress is vulnerable to Information Exposure in all versions up to, and including, 0.92.0 via the 'catlist' shortcode due to insufficient restrictions on which posts can be included. This makes it possible for authenticated attackers, with contributor-level access and above, to extract data from password protected, private, or draft posts that they should not have access to.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS