CVE-2025-13358

ŚrednieCVSS 5.3

Opublikowano: 06/12/2025(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 16/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka Accessiy By CodeConfig Accessibility dla WordPressa (wersje do 1.0.0 włącznie) jest podatna na nieautoryzowane tworzenie stron z powodu braku sprawdzania uprawnień w funkcji Settings::createPage(). Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą tworzyć dowolne opublikowane strony za pomocą akcji AJAX ccpcaCreatePage.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może tworzyć niechciane treści na stronie, co może prowadzić do rozprzestrzeniania spamu, dezinformacji lub uszkodzenia reputacji witryny.

Rekomendacja

Zaktualizuj wtyczkę Accessiy By CodeConfig Accessibility do wersji nowszej niż 1.0.0. Sprawdź, czy nie ma już utworzonych nieautoryzowanych stron i usuń je.

Inne podatności w Accessiy By CodeConfig Accessibility

CVE-2025-13309Średnie
Wtyczka Accessiy By CodeConfig Accessibility dla WordPressa (wersje do 1.0.2 włącznie) jest podatna na obejście autoryzacji z powodu nieprawidłowego sprawdzania, czy użytkownik jest uprawniony do wykonania akcji. Uwierzytelnieni atakujący z poziomem subskrybenta i wyższym mogą modyfikować globalne ustawienia dostępności wtyczki.

Oryginalny opis (angielski, źródło NVD)

The Accessiy By CodeConfig Accessibility plugin for WordPress is vulnerable to unauthorized page creation due to missing authorization checks in versions up to, and including, 1.0.0. This is due to the plugin not performing capability checks in the `Settings::createPage()` function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to create arbitrary published pages on the site via the `ccpcaCreatePage` AJAX action.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS