CVE-2025-15636
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka YouTube Showcase dla WordPress jest podatna na przechowywany XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach od nieznanej do 3.5.1 włącznie.
Ocena ryzyka
Atakujący mogą wstrzyknąć złośliwe skrypty, które zostaną wykonane w przeglądarce użytkownika, prowadząc do kradzieży sesji lub innych ataków. Może to zaszkodzić użytkownikom witryny i reputacji organizacji.
Rekomendacja
Zaktualizuj wtyczkę YouTube Showcase do wersji nowszej niż 3.5.1. Regularnie przeglądaj i aktualizuj wszystkie wtyczki WordPress, aby minimalizować ryzyko.
Inne podatności w YouTube Showcase
Zobacz wszystkie- CVE-2026-15790Średnie
Wtyczka Youtube Showcase dla WordPressa do wersji 4.0.4 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode 'emd_mb_meta'. Tytuły załączników są interpolowane do atrybutów HTML bez odpowiedniego escapowania, co pozwala uwierzytelnionym atakującym z dostępem na poziomie autora i wyższym na wstrzyknięcie dowolnych skryptów.
- CVE-2026-12923Wysokie
Wtyczka Youtube Showcase dla WordPressa do wersji 4.0.3 włącznie zawiera podatność na dowolne wywołanie funkcji PHP. Problem wynika z niewystarczającej walidacji parametru 'path' w handlerze AJAX emd_delete_file(), co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym na wywoływanie funkcji PHP bez argumentów, takich jak phpinfo czy phpversion.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in emarket-design YouTube Showcase youtube-showcase allows Stored XSS.This issue affects YouTube Showcase: from n/a through <= 3.5.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS