CVE-2025-11987
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Visual Link Preview dla WordPress jest podatna na przechowywany Cross-Site Scripting poprzez shortcode visual-link-preview w wersjach do 2.2.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych atrybutów dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem współautora i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika.
Ocena ryzyka
Atakujący z uprawnieniami współautora może wstrzyknąć złośliwe skrypty wykonujące się w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji lub działań w imieniu użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Visual Link Preview do wersji nowszej niż 2.2.7, gdy poprawka będzie dostępna, i ogranicz uprawnienia współautorów.
Inne podatności w Visual Link Preview
Zobacz wszystkie- CVE-2026-48878Średnie
W wersjach Visual Link Preview do 2.4.1 występuje podatność na ujawnienie wrażliwych danych subskrybentów.
- CVE-2026-39670Średnie
Podatność na SSRF (Server-Side Request Forgery) we wtyczce Visual Link Preview umożliwia wysyłanie żądań z serwera do wewnętrznych zasobów. Problem dotyczy wersji do 2.3.0 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Visual Link Preview plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's visual-link-preview shortcode in versions up to, and including, 2.2.7 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS