CVE-2025-12935

ŚrednieCVSS 6.4

Opublikowano: 21/11/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka FluentCRM – Email Newsletter, Automation, Email Marketing, Email Campaigns, Optins, Leads, and CRM Solution dla WordPress jest podatna na Stored Cross-Site Scripting poprzez shortcode 'fluentcrm_content' we wszystkich wersjach do 2.9.84 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współpracownika i wyższym wstrzykiwanie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, danych lub innych działań w imieniu użytkownika.

Rekomendacja

Zaktualizuj wtyczkę FluentCRM do wersji nowszej niż 2.9.84, która naprawia tę podatność.

Inne podatności w FluentCRM

CVE-2026-7798Średnie
Wtyczka FluentCRM dla WordPress do wersji 2.9.87 włącznie jest podatna na ślepe SSRF przez parametr 'SubscribeURL'. Niezautoryzowani atakujący mogą wysyłać żądania do dowolnych lokalizacji z poziomu aplikacji, co umożliwia odczyt i modyfikację danych z wewnętrznych usług. Wykorzystanie wymaga, aby klucz obsługi odbić SES nie został jeszcze zapisany (domyślna konfiguracja).

Oryginalny opis (angielski, źródło NVD)

The FluentCRM – Email Newsletter, Automation, Email Marketing, Email Campaigns, Optins, Leads, and CRM Solution plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'fluentcrm_content' shortcode in all versions up to, and including, 2.9.84 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS