CVE-2025-14814
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez shortcode cjtoolbox we wszystkich wersjach do 12.0.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami współtwórcy i wyższymi wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika.
Ocena ryzyka
Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających, prowadząc do kradzieży sesji lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę CSS & JavaScript Toolbox do wersji nowszej niż 12.0.6, która poprawia sanityzację i escapowanie atrybutów shortcode cjtoolbox.
Inne podatności w CSS & JavaScript Toolbox
Zobacz wszystkie- CVE-2025-13533Średnie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na trwałe Cross-Site Scripting we wszystkich wersjach do 12.0.6 włącznie, poprzez pola Assignment Engine. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w polach Expressions, URLs i Advanced assignment data.
- CVE-2025-11928Średnie
Wtyczka CSS & JavaScript Toolbox dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez ustawienia administracyjne we wszystkich wersjach do 12.0.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami administratora lub wyższymi może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Podatność dotyczy wyłącznie instalacji multi-site oraz instalacji, w których wyłączono unfiltered_html.
Oryginalny opis (angielski, źródło NVD)
The CSS & JavaScript Toolbox plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's cjtoolbox shortcode in all versions up to, and including, 12.0.6 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS