CVE-2025-11928
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez ustawienia administracyjne we wszystkich wersjach do 12.0.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Podatność dotyczy wyłącznie instalacji multi-site oraz instalacji, w których wyłączono unfiltered_html.
Ocena ryzyka
Atakujący z uprawnieniami administratora może wykonać złośliwy kod JavaScript w przeglądarce innych użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji, szczególnie w środowiskach multi-site.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 12.0.5 lub ją wyłącz, jeśli aktualizacja nie jest dostępna. Zweryfikuj, czy unfiltered_html jest wyłączone, i ogranicz liczbę administratorów.
Inne podatności w CSS & JavaScript Toolbox
Zobacz wszystkie- CVE-2025-14814Średnie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez shortcode cjtoolbox we wszystkich wersjach do 12.0.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami współtwórcy i wyższymi wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.
- CVE-2025-13533Średnie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na trwałe Cross-Site Scripting we wszystkich wersjach do 12.0.6 włącznie, poprzez pola Assignment Engine. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w polach Expressions, URLs i Advanced assignment data.
Oryginalny opis (angielski, źródło NVD)
The CSS & JavaScript Toolbox plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 12.0.5 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS