CVE-2025-15690
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Content Mask przed wersją 1.8.5.6 nie odpowiednio sanityzuje i nie escapuje treści przesłanej z postem przed jej wyświetleniem na generowanych stronach. Pozwala to użytkownikom z rolą co najmniej Współautor (Contributor) na przeprowadzanie ataków Stored Cross-Site Scripting (XSS) przeciwko każdemu użytkownikowi przeglądającemu lub podglądającemu dotkniętą stronę. Opcja ograniczająca użycie wtyczki według roli nie zapobiega temu.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont i rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki Content Mask do wersji 1.8.5.6 lub nowszej, która zawiera poprawkę sanityzacji i escapowania treści.
Inne podatności w Content Mask
Zobacz wszystkie- CVE-2026-77003Niskie
Wtyczka Content Mask dla WordPressa przed wersją 1.8.5.5 nie sprawdza uprawnień wymaganych do publikowania tworzonego typu treści, co pozwala użytkownikom z rolą Contributor na publikowanie postów i stron bez posiadania odpowiednich uprawnień.
- CVE-2025-58011Średnie
Wtyczka Content Mask od Alex ma podatność na Server-Side Request Forgery (SSRF), która pozwala na wykonywanie żądań po stronie serwera. Dotyczy wersji do 1.8.5.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Content Mask WordPress plugin before 1.8.5.6 does not properly sanitise and escape content submitted with a post before outputting it in the pages it generates, allowing users with a role as low as Contributor to perform Stored Cross-Site Scripting attacks against any user viewing or previewing the affected page. The Content Mask WordPress plugin before 1.8.5.6's option to restrict its use by role does not prevent this.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS