CVE-2025-15694

NiskieCVSS 3.5

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka Joli Table Of Contents dla WordPressa przed wersją 2.8.1 nie sanityzuje i nie escapuje niektórych swoich ustawień przed wypisaniem ich na stronie administracyjnej. Może to pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, na przeprowadzanie ataków Stored Cross-Site Scripting nawet wtedy, gdy możliwość unfiltered_html jest zabroniona, na przykład w konfiguracji multisite.

Ocena ryzyka

Organizacja narażona jest na trwałe ataki XSS, które mogą prowadzić do przejęcia sesji administratora, kradzieży danych lub modyfikacji treści strony.

Rekomendacja

Zaleca się aktualizację wtyczki Joli Table Of Contents do wersji 2.8.1 lub nowszej oraz ograniczenie uprawnień administratorów w środowiskach multisite.

Inne podatności w Joli Table Of Contents

CVE-2026-84931Średnie
Wtyczka Joli Table Of Contents dla WordPressa przed wersją 3.0.3 nie sanityzuje ani nie escapuje wartości atrybutu shortcode przed wypisaniem jej wewnątrz atrybutu elementu HTML. Umożliwia to użytkownikom z rolą Autora i wyższą wstrzyknięcie dowolnych atrybutów HTML i JavaScriptu, które wykonują się w przeglądarce każdego użytkownika przeglądającego post, w tym administratorów. Przekracza to granicę uprawnień nawet w multisite, gdzie tacy użytkownicy nie mają uprawnień do publikowania niesfiltrowanego HTML.

Oryginalny opis (angielski, źródło NVD)

The Joli Table Of Contents WordPress plugin before 2.8.1 does not sanitise and escape some of its settings before outputting them in an admin page, which could allow high-privilege users such as administrators to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed, for example in a multisite setup.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS