CVE-2025-11897
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Motyw The7 dla WordPressa jest podatny na przechowywany atak XSS poprzez parametr 'the7_fancy_title_css' we wszystkich wersjach do 12.9.1 włącznie. Brak odpowiedniego oczyszczania wejścia i wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony.
Ocena ryzyka
Wstrzyknięte skrypty mogą wykonywać się w przeglądarkach użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj motyw The7 do najnowszej wersji, która zawiera poprawkę. Ogranicz uprawnienia kont i regularnie audytuj treści pod kątem podejrzanych skryptów.
Inne podatności w The7
Zobacz wszystkie- CVE-2026-66588Wysokie
Motyw The7 w wersjach do 14.2.2 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2025-63073Średnie
Podatność typu DOM-Based XSS w motywie The7 firmy Dream-Theme. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony internetowej umożliwia atak z wykorzystaniem skryptów po stronie przeglądarki.
Oryginalny opis (angielski, źródło NVD)
The The7 — Website and eCommerce Builder for WordPress theme for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘ the7_fancy_title_css’ parameter in all versions up to, and including, 12.9.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS