CVE-2025-12019

ŚrednieCVSS 4.4

Opublikowano: 11/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Wtyczka Featured Image dla WordPressa w wersjach do 2.1 włącznie jest podatna na przechowywane XSS poprzez metadane obrazu z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami administratora lub wyższymi mogą wstrzykiwać dowolne skrypty do stron. Problem dotyczy tylko instalacji multisite oraz tych, w których wyłączono unfiltered_html.

Ocena ryzyka

Atakujący z uprawnieniami administratora może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub innych ataków.

Rekomendacja

Zaktualizuj wtyczkę Featured Image do wersji nowszej niż 2.1, która zawiera poprawkę tego problemu.

Inne podatności w Featured Image

CVE-2026-57431Średnie
Wtyczka Featured Image dla WordPressa w wersji 2.1 i starszych zawiera podatność na atak XSS (Cross-Site Scripting) w funkcji autora. Umożliwia to wstrzyknięcie złośliwego kodu JavaScript przez nieautoryzowanego użytkownika.

Oryginalny opis (angielski, źródło NVD)

The Featured Image plugin for WordPress is vulnerable to Stored Cross-Site Scripting via image metadata in all versions up to, and including, 2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS