CVE-2025-4970
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka BSK PDF Manager dla WordPressa jest podatna na Stored Cross-Site Scripting przez przesyłanie plików SVG we wszystkich wersjach do 3.7.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escape'owania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Administratora i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi plik SVG. Problem dotyczy tylko instalacji wielostanowiskowych oraz instalacji, w których wyłączono unfiltered_html.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie możliwości przesyłania plików SVG tylko dla zaufanych administratorów.
Inne podatności w BSK PDF Manager
Zobacz wszystkie- CVE-2026-65528Średnie
Wtyczka BSK PDF Manager w wersjach do 3.8 zawiera podatność na atak XSS (Cross Site Scripting) z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wstrzyknąć złośliwy skrypt JavaScript.
- CVE-2026-39686Średnie
Wtyczka BSK PDF Manager dla WordPress (wersje do 3.7.2) ujawnia wrażliwe informacje systemowe nieuprawnionym podmiotom, co pozwala na odzyskanie osadzonych wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
The BSK PDF Manager plugin for WordPress is vulnerable to Stored Cross-Site Scripting via SVG File uploads in all versions up to, and including, 3.7.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Administrator-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses the SVG file. This only affects multi-site installations and installations where unfiltered_html has been disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS