CVE-2025-11976
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka FuseWP – WordPress User Sync to Email List & Marketing Automation jest podatna na atak Cross-Site Request Forgery we wszystkich wersjach do 1.1.23.0 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji save_changes, co pozwala nieuwierzytelnionemu atakującemu dodawać lub edytować reguły synchronizacji po nakłonieniu administratora do kliknięcia linku.
Ocena ryzyka
Atakujący może zmodyfikować reguły synchronizacji użytkowników z listami mailingowymi, co może prowadzić do wycieku danych lub nieautoryzowanych działań marketingowych.
Rekomendacja
Zaktualizuj wtyczkę FuseWP do wersji nowszej niż 1.1.23.0.
Inne podatności w FuseWP
Zobacz wszystkie- CVE-2026-5582Średnie
Wtyczka FuseWP dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.1.24.2 włącznie. Wynika to z braku weryfikacji nonce w funkcji toggle_sync_status(). Umożliwia to nieuwierzytelnionym atakującym przełączanie stanu reguł synchronizacji (włączanie/wyłączanie) poprzez sfałszowane żądanie, pod warunkiem że nakłonią administratora witryny do wykonania akcji, takiej jak kliknięcie linku.
- CVE-2025-11975Średnie
Wtyczka FuseWP dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji save_changes() w wersjach do 1.1.23.0 włącznie. Nieuwierzytelnieni atakujący mogą dodawać i edytować reguły synchronizacji.
Oryginalny opis (angielski, źródło NVD)
The FuseWP – WordPress User Sync to Email List & Marketing Automation (Mailchimp, Constant Contact, ActiveCampaign etc.) plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.1.23.0. This is due to missing or incorrect nonce validation on the save_changes function. This makes it possible for unauthenticated attackers to add or edit sync rules via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS