CVE-2025-14395

ŚrednieCVSS 4.3

Opublikowano: 13/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Popover Windows dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w wielu akcjach AJAX (np. pop_submit, poptheme_submit) we wszystkich wersjach do 1.2 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację ustawień i treści wtyczki.

Ocena ryzyka

Atakujący może zmienić ustawienia i treści wtyczki, co może prowadzić do defacementu strony lub wstrzyknięcia złośliwej zawartości.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie dostępu do akcji AJAX tylko dla zaufanych ról.

Inne podatności w Popover Windows

CVE-2025-14394Średnie
Wtyczka WordPress Popover Windows w wersjach do 1.2 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce. Umożliwia to nieuwierzytelnionym atakującym aktualizację ustawień wtyczki poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.

Oryginalny opis (angielski, źródło NVD)

The Popover Windows plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on multiple ajax actions (e.g., pop_submit, poptheme_submit) in all versions up to, and including, 1.2. This makes it possible for authenticated attackers, with subscriber-level access and above, to modify the plugin's settings and content.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS