CVE-2025-14469

ŚrednieCVSS 4.3

Opublikowano: 01/08/2026(UTC)Zaktualizowano: 29/09/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Theme Editor dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 3.1 włącznie. Podatność wynika z braku walidacji nonce w akcji AJAX ms_update. Umożliwia to nieuwierzytelnionym atakującym modyfikację stylów CSS motywu potomnego poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia w link.

Ocena ryzyka

Atakujący może zmienić wygląd strony poprzez modyfikację CSS, co może prowadzić do defacementu lub wstrzyknięcia złośliwych treści. Wymaga to interakcji administratora, ale może być wykorzystane w atakach socjotechnicznych.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Theme Editor do najnowszej wersji, która usuwa tę podatność. Należy również edukować administratorów o zagrożeniach związanych z klikaniem w podejrzane linki.

Inne podatności w Theme Editor

CVE-2026-39640Krytyczne
Podatność na Cross-Site Request Forgery (CSRF) we wtyczce Theme Editor do WordPressa umożliwia wstrzyknięcie kodu. Atakujący może nakłonić administratora do wykonania niepożądanych działań.

Oryginalny opis (angielski, źródło NVD)

The Theme Editor plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 3.1. This is due to missing nonce validation on the ms_update AJAX action. This makes it possible for unauthenticated attackers to modify child theme CSS styles via a forged request granted they can trick an administrator into performing an action such as clicking on a link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS