CVE-2025-11745

ŚrednieCVSS 6.4

Opublikowano: 05/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez pole niestandardowe za pośrednictwem shortcode 'adinserter' we wszystkich wersjach do 2.8.7 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Ocena ryzyka

Uwierzytelniony atakujący z uprawnieniami współautora może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce odwiedzających stronę, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści. Ryzyko dotyczy organizacji korzystających z tej wtyczki na stronach WordPress z wieloma autorami.

Rekomendacja

Zaktualizuj wtyczkę Ad Inserter do wersji nowszej niż 2.8.7, jeśli jest dostępna, lub rozważ jej usunięcie i zastąpienie alternatywnym rozwiązaniem. Dodatkowo ogranicz uprawnienia współautorów i regularnie przeglądaj treści publikowane przez użytkowników.

Inne podatności w Ad Inserter WordPress plugin

CVE-2026-102905Średnie
Wtyczka Ad Inserter dla WordPressa (wersje do 2.8.19 włącznie) jest podatna na wykonanie dowolnego shortcode, ponieważ pozwala użytkownikom na wykonanie akcji bez odpowiedniej walidacji wartości przed uruchomieniem do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode. Wykorzystanie wymaga, aby administrator skonfigurował blok reklamowy zawierający dynamiczny tag, taki jak {title}, {tag}, {category} lub {smart-tag}, z włączonym wyświetlaniem na stronach wyszukiwania.

Oryginalny opis (angielski, źródło NVD)

The Ad Inserter – Ad Manager & AdSense Ads plugin for WordPress is vulnerable to Stored Cross-Site Scripting via custom field through the plugin's 'adinserter' shortcode in all versions up to, and including, 2.8.7 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS