CVE-2025-13993

ŚrednieCVSS 5.5

Opublikowano: 12/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Wtyczka MailerLite – Signup forms (official) dla WordPressa w wersjach do 1.7.16 włącznie jest podatna na przechowywany cross-site scripting (XSS) poprzez parametry 'form_description' i 'success_message' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty do stron.

Ocena ryzyka

Atakujący z uprawnieniami administratora może wstrzyknąć złośliwe skrypty, które wykonają się u użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, przekierowań lub innych ataków w kontekście przeglądarki ofiary.

Rekomendacja

Zaktualizować wtyczkę MailerLite – Signup forms do wersji nowszej niż 1.7.16. Ograniczyć liczbę kont z uprawnieniami administratora i przeglądać treści formularzy pod kątem podejrzanych skryptów.

Inne podatności w MailerLite – Signup forms

CVE-2026-3253Średnie
Wtyczka MailerLite – Signup forms (official) dla WordPress jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w metodzie forms() klasy AdminController we wszystkich wersjach do 1.7.21 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Contributor i wyższym tworzenie lub usuwanie dowolnych formularzy zapisu.

Oryginalny opis (angielski, źródło NVD)

The MailerLite – Signup forms (official) plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'form_description' and 'success_message' parameters in versions up to, and including, 1.7.16 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with administrator access or higher, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS