CVE-2025-12064

ŚrednieCVSS 6.1

Opublikowano: 08/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka WP2Social Auto Publish dla WordPressa jest podatna na odbity atak XSS przez PostMessage w wersjach do 2.4.7 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzyknąć skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.

Ocena ryzyka

Ryzyko polega na możliwości wstrzyknięcia złośliwych skryptów przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych lub przejęcia sesji użytkownika. Atak wymaga interakcji użytkownika, np. kliknięcia w spreparowany link.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji z poprawkami. Należy również edukować użytkowników, aby nie klikali w podejrzane linki.

Inne podatności w WP2Social Auto Publish

CVE-2026-12042Średnie
Wtyczka WP2Social Auto Publish dla WordPressa (wersje do 2.4.12 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez ustawienia administratora z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora i wyższymi wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Dotyczy to wyłącznie instalacji multisite oraz instalacji, w których wyłączono unfiltered_html.

Oryginalny opis (angielski, źródło NVD)

The WP2Social Auto Publish plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via PostMessage in all versions up to, and including, 2.4.7 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS