CVE-2025-49940
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Fusion Builder do wersji 3.13.2 zawiera podatność na ataki typu DOM-Based XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wykonanie złośliwego skryptu w przeglądarce ofiary.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, wykraść dane lub wykonać nieautoryzowane działania w kontekście ofiary, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Fusion Builder do najnowszej wersji, która zawiera poprawkę eliminującą podatność. Dodatkowo rozważ zastosowanie polityk bezpieczeństwa treści (CSP) w celu ograniczenia ryzyka XSS.
Inne podatności w Fusion Builder
Zobacz wszystkie- CVE-2026-54193Wysokie
W wersjach Fusion Builder do 3.15.4 występuje podatność umożliwiająca nieautoryzowane usunięcie plików przez użytkowników z odpowiednimi uprawnieniami.
- CVE-2026-54194Krytyczne
Wersje Fusion Builder do 3.15.4 są podatne na wstrzyknięcie obiektów PHP, co może prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.
- CVE-2026-56008Wysokie
Wtyczka Fusion Builder dla WordPressa w wersji 3.15.4 i starszych zawiera podatność umożliwiającą eskalację uprawnień przez współautorów. Atakujący z rolą współautora może uzyskać nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-12256Wysokie
Podatność na deserializację niezaufanych danych w ThemeFusion Fusion Builder (fusion-builder) umożliwia wstrzyknięcie obiektów. Problem dotyczy wersji Fusion Builder do 3.15.3.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in ThemeFusion Fusion Builder fusion-builder allows DOM-Based XSS.This issue affects Fusion Builder: from n/a through <= 3.13.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS