CVE-2025-12020
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Double the Donation dla WordPressa jest podatna na przechowywany atak XSS w ustawieniach administratora w wersjach do 3.0.0 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Uwierzytelnieni atakujący z uprawnieniami administratora mogą wstrzyknąć dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwych skryptów przez administratora, co może prowadzić do przejęcia sesji użytkowników lub kradzieży danych. Dotyczy to instalacji wielostanowiskowych oraz tych, gdzie wyłączono unfiltered_html.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawki. Dodatkowo należy ograniczyć uprawnienia administratorów i włączyć filtrowanie HTML.
Inne podatności w Double the Donation
Oryginalny opis (angielski, źródło NVD)
The Double the Donation – A workplace giving tool to help your fundraising efforts plugin for WordPress is vulnerable to Stored Cross-Site Scripting via admin settings in all versions up to, and including, 3.0.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator-level permissions and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This only affects multi-site installations and installations where unfiltered_html has been disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS