CVE-2025-14166

ŚrednieCVSS 5.3

Opublikowano: 12/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Wtyczka WPMasterToolKit dla WordPressa w wersjach do 2.13.0 włącznie jest podatna na wstrzyknięcie kodu PHP, ponieważ pozwala użytkownikom z poziomem Author tworzyć i wykonywać dowolny kod PHP poprzez funkcję Code Snippets bez odpowiednich kontroli uprawnień. Uwierzytelnieni atakujący z poziomem Contributor lub wyższym mogą wykonać dowolny kod PHP na serwerze, co prowadzi do zdalnego wykonania kodu, eskalacji uprawnień i pełnego przejęcia witryny.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może wykonać dowolny kod PHP na serwerze, co prowadzi do pełnego przejęcia witryny, eskalacji uprawnień i potencjalnego dostępu do innych systemów.

Rekomendacja

Zaktualizuj wtyczkę WPMasterToolKit do wersji nowszej niż 2.13.0, która zawiera poprawkę tego problemu.

Inne podatności w WPMasterToolKit

CVE-2026-66624Wysokie
Wtyczka WordPress WPMasterToolKit w wersjach do 2.22.0 zawiera podatność SQL Injection dostępną dla użytkowników z uprawnieniami administratora. Administrator może wstrzyknąć złośliwe zapytania SQL poprzez podatny parametr.

Oryginalny opis (angielski, źródło NVD)

The WPMasterToolKit plugin for WordPress is vulnerable to PHP Code Injection in all versions up to, and including, 2.13.0. This is due to the plugin allowing Author-level users to create and execute arbitrary PHP code through the Code Snippets feature without proper capability checks. This makes it possible for authenticated attackers, with Contributor-level access and above, to execute arbitrary PHP code on the server, leading to remote code execution, privilege escalation, and complete site compromise.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS