CVE-2025-15697

WysokieCVSS 7.1

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Dictionary do WordPressa do wersji 1.0 nie escapuje danych wejściowych użytkownika przed odzwierciedleniem ich w odpowiedziach kilku bezpośrednio dostępnych skryptów. Umożliwia to nieuwierzytelnionym atakującym przeprowadzanie ataków Reflected Cross-Site Scripting przeciwko każdemu, kogo uda im się nakłonić do wysłania spreparowanego żądania.

Ocena ryzyka

Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście zalogowanego użytkownika.

Rekomendacja

Zaktualizuj wtyczkę Dictionary do najnowszej dostępnej wersji lub usuń ją, jeśli nie jest niezbędna. Dodatkowo rozważ użycie zapory aplikacji internetowej (WAF) do filtrowania złośliwych żądań.

Inne podatności w Dictionary WordPress plugin

CVE-2026-88792Wysokie
Wtyczka WordPress Dictionary do wersji 1.0 włącznie nie ma autoryzacji, sanityzacji ani escapowania przy dodawaniu lub aktualizowaniu wpisów słownika. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie dowolnych skryptów internetowych, które wykonają się, gdy użytkownik wyświetli dotknięty wpis.

Oryginalny opis (angielski, źródło NVD)

The Dictionary WordPress plugin through 1.0 does not escape user input before reflecting it back in the responses of several directly accessible scripts, allowing unauthenticated attackers to perform Reflected Cross-Site Scripting attacks against anyone they can induce to submit a crafted request.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS