CVE-2025-13533
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na trwałe Cross-Site Scripting we wszystkich wersjach do 12.0.6 włącznie, poprzez pola Assignment Engine. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w polach Expressions, URLs i Advanced assignment data.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami administratora może wstrzyknąć dowolne skrypty do stron, które wykonają się przy dostępie do ekranu edycji bloku CJT. Może to prowadzić do przejęcia sesji lub modyfikacji treści.
Rekomendacja
Zaktualizuj wtyczkę CSS & JavaScript Toolbox do wersji nowszej niż 12.0.6. Ogranicz liczbę kont z uprawnieniami administratora i audytuj nietypowe zmiany w blokach CJT.
Inne podatności w CSS & JavaScript Toolbox
Zobacz wszystkie- CVE-2025-14814Średnie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez shortcode cjtoolbox we wszystkich wersjach do 12.0.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami współtwórcy i wyższymi wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.
- CVE-2025-11928Średnie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez ustawienia administracyjne we wszystkich wersjach do 12.0.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Podatność dotyczy wyłącznie instalacji multi-site oraz instalacji, w których wyłączono unfiltered_html.
Oryginalny opis (angielski, źródło NVD)
The CSS & JavaScript Toolbox plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 12.0.6 via the Assignment Engine fields. This is due to insufficient input sanitization and output escaping on assignment data fields including Expressions, URLs, and Advanced assignment data. This makes it possible for authenticated attackers, with Administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses the CJT block edit screen in the admin dashboard.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS