CVE-2025-12045

ŚrednieCVSS 6.4

Opublikowano: 04/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez parametry 'name' kategorii i tagów we wszystkich wersjach do 3.0.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Atakujący z uprawnieniami Author może wykonać atak XSS, który może prowadzić do kradzieży sesji, przejęcia konta administratora lub modyfikacji treści witryny.

Rekomendacja

Zaktualizuj wtyczkę Orbit Fox do wersji nowszej niż 3.0.2. Rozważ ograniczenie możliwości tworzenia kategorii i tagów przez użytkowników o niskich uprawnieniach.

Inne podatności w Orbit Fox

CVE-2025-10874Średnie
Wtyczka Orbit Fox dla WordPressa przed wersją 3.0.2 nie ogranicza adresów URL używanych w funkcji importu zdjęć stockowych, umożliwiając użytkownikowi podanie dowolnych adresów URL. Prowadzi to do podatności na fałszerstwo żądań po stronie serwera (SSRF), ponieważ użytkownik może zmusić serwer do uzyskania dostępu do dowolnego adresu URL.

Oryginalny opis (angielski, źródło NVD)

The Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the category and tag 'name' parameters in all versions up to, and including, 3.0.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS