CVE-2025-12193
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Mang Board WP dla WordPressa jest podatna na odbity atak XSS przez parametr 'mp' w wersjach do 2.3.1 włącznie. Problem wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzyknąć skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwych skryptów przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych lub przejęcia sesji użytkownika. Atak wymaga interakcji użytkownika, np. kliknięcia w spreparowany link.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji z poprawkami. Należy również edukować użytkowników, aby nie klikali w podejrzane linki.
Inne podatności w Mang Board WP
Zobacz wszystkie- CVE-2026-84770Wysokie
Nieuwierzytelniony Cross-Site Request Forgery (CSRF) w wtyczce Mang Board WP w wersjach do 2.3.8.
- CVE-2026-94176Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Mang Board WP w wersjach do 2.4.1.
- CVE-2026-75977Wysokie
Wtyczka Mang Board WP dla WordPressa jest podatna na brak autoryzacji poprzez fałszowanie ciasteczek uwierzytelniających we wszystkich wersjach do 2.3.7 włącznie. Wynika to z błędnej generacji HMAC w funkcji mbw_get_hash_key(), która używa tożsamości bieżącego użytkownika zamiast parametru nazwy użytkownika z ciasteczka, gdy użytkownik WordPressa jest zalogowany, oraz z niewystarczającej walidacji w mbw_validate_auth_cookie(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej fałszowanie ciasteczek uwierzytelniających administratora i zmianę haseł administratorów, co prowadzi do całkowitego przejęcia witryny.
- CVE-2026-61974Wysokie
Wtyczka Mang Board WP w wersjach do 2.3.4 zawiera podatność na atak XSS (Cross Site Scripting), która może być wykorzystana bez uwierzytelnienia.
- CVE-2026-13334Średnie
Wtyczka Mang Board WP dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'stag' we wszystkich wersjach do 2.3.4 włącznie. Podatność wynika z niewystarczającej sanitizacji wejścia i braku odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Mang Board WP plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'mp' parameter in all versions up to, and including, 2.3.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS