CVE-2025-13408

ŚrednieCVSS 4.3

Opublikowano: 12/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka Foxtool All-in-One dla WordPressa do wersji 2.5.2 włącznie zawiera podatność na Cross-Site Request Forgery (CSRF). Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji foxtool_login_google().

Ocena ryzyka

Nieuwierzytelnieni atakujący mogą ustanowić połączenie OAuth poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania akcji, takiej jak kliknięcie linku. Może to prowadzić do nieautoryzowanego dostępu lub przejęcia konta.

Rekomendacja

Zaleca się aktualizację wtyczki Foxtool All-in-One do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również edukować administratorów, aby nie klikali podejrzanych linków.

Inne podatności w Foxtool All-in-One

CVE-2026-18317Średnie
Wtyczka Foxtool All-in-One dla WordPressa w wersjach do 2.5.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami subskrybenta lub wyższymi może modyfikować dowolne podklucze opcji foxtool_settings, w tym włączyć przesyłanie plików SVG w całym serwisie, co może ułatwić trwałe skrypty krzyżowe (Stored XSS) poprzez złośliwe pliki SVG.

Oryginalny opis (angielski, źródło NVD)

The Foxtool All-in-One: Contact chat button, Custom login, Media optimize images plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.5.2. This is due to missing or incorrect nonce validation on the foxtool_login_google() function. This makes it possible for unauthenticated attackers to establish an OAuth Connection via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS