CVE-2025-14032
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Bold Timeline Lite dla WordPressa do wersji 1.2.7 jest podatna na Stored Cross-Site Scripting (XSS) przez parametr 'title' w shortcode 'bold_timeline_group' z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty webowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Stored XSS może pozwolić atakującemu na wykonanie skryptów w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Należy zaktualizować wtyczkę Bold Timeline Lite do najnowszej wersji. Dodatkowo administratorzy powinni ograniczyć uprawnienia Contributor i regularnie sprawdzać treści pod kątem złośliwego kodu.
Inne podatności w Bold Timeline Lite
Zobacz wszystkie- CVE-2026-7438Średnie
Wtyczka Bold Timeline Lite dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybuty `supertitle` i `subtitle` shortcode'u `bold_timeline_item` we wszystkich wersjach do 1.2.8 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika.
- CVE-2025-68513Średnie
Wtyczka Bold Timeline Lite do wersji 1.2.7 zawiera podatność Stored Cross-site Scripting (XSS), która pozwala atakującemu na wstrzyknięcie trwałego skryptu do strony internetowej.
Oryginalny opis (angielski, źródło NVD)
The Bold Timeline Lite plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'title' parameter in the 'bold_timeline_group' shortcode in all versions up to, and including, 1.2.7 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS