CVE-2025-12878
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka FunnelKit – Funnel Builder for WooCommerce Checkout dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez shortcode `wfop_phone` we wszystkich wersjach do 3.13.1.2 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w atrybucie `default` dostarczanym przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributora i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Może to prowadzić do kradzieży sesji, przejęcia konta lub innych ataków na użytkowników odwiedzających stronę.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 3.13.1.2 lub usuń shortcode, jeśli nie jest używany.
Inne podatności w FunnelKit – Funnel Builder for WooCommerce Checkout
Oryginalny opis (angielski, źródło NVD)
The FunnelKit – Funnel Builder for WooCommerce Checkout plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the `wfop_phone` shortcode in all versions up to, and including, 3.13.1.2. This is due to insufficient input sanitization and output escaping on the user-supplied `default` attribute. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS