CVE-2025-14984

ŚrednieCVSS 6.4

Opublikowano: 08/01/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka Gutenverse Form do WordPressa (wersje do 2.3.2 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez przesyłanie plików SVG. Komponent frameworka wtyczki dodaje SVG do dozwolonych typów MIME bez sanityzacji zawartości, co pozwala uwierzytelnionym atakującym z rolą Author i wyższą na przesłanie złośliwego pliku SVG.

Ocena ryzyka

Złośliwy JavaScript w przesłanym pliku SVG wykona się w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub innych działań w kontekście użytkownika.

Rekomendacja

Zaktualizuj wtyczkę Gutenverse Form do wersji nowszej niż 2.3.2 lub ogranicz możliwość przesyłania plików SVG.

Inne podatności w Gutenverse Form

CVE-2025-68511Średnie
Formularz Gutenverse Form dla WordPressa zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 2.3.1 włącznie.

Oryginalny opis (angielski, źródło NVD)

The Gutenverse Form plugin for WordPress is vulnerable to Stored Cross-Site Scripting via SVG file upload in all versions up to, and including, 2.3.2. This is due to the plugin's framework component adding SVG to the allowed MIME types via the upload_mimes filter without implementing any sanitization of SVG file contents. This makes it possible for authenticated attackers, with Author-level access and above, to upload SVG files containing malicious JavaScript that executes when the file is viewed, leading to arbitrary JavaScript execution in victims' browsers.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS