CVE-2025-15675
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Charitable przed wersją 1.8.5.3 nie dezynfekuje i nie escapuje jednego z pól tekstowych obrazu kampanii przed wyświetleniem go w atrybucie HTML. Umożliwia to użytkownikom z wysokimi uprawnieniami do zarządzania kampaniami przeprowadzenie ataków Stored Cross-Site Scripting (XSS), które wykonują się na stronie kampanii widocznej dla odwiedzających.
Ocena ryzyka
Atak XSS może pozwolić na kradzież sesji użytkowników, przekierowanie do złośliwych stron lub kradzież danych wrażliwych, co zagraża bezpieczeństwu odwiedzających i reputacji organizacji.
Rekomendacja
Należy zaktualizować wtyczkę Charitable do wersji 1.8.5.3 lub nowszej, która zawiera odpowiednie zabezpieczenia przed XSS. Dodatkowo warto ograniczyć uprawnienia do zarządzania kampaniami tylko dla zaufanych użytkowników.
Inne podatności w Charitable
Zobacz wszystkie- CVE-2026-16650Średnie
Wtyczka Charitable dla WordPressa przed wersją 1.8.12 nie weryfikuje autentyczności przychodzących zdarzeń webhook Square w domyślnej konfiguracji, co pozwala nieuwierzytelnionym atakującym na sfałszowanie powiadomień webhook, które oznaczają darowizny jako opłacone bez żadnej rzeczywistej płatności.
- CVE-2026-73994Wysokie
Nieuwierzytelniona podatność złamanej kontroli dostępu w wtyczce Charitable w wersjach do 1.8.11.3.
Oryginalny opis (angielski, źródło NVD)
The Charitable WordPress plugin before 1.8.5.3 does not sanitise and escape one of its campaign image text fields before outputting it in an HTML attribute, allowing users with a high-privilege campaign-management role to perform Stored Cross-Site Scripting attacks that execute on the front-end campaign page.