CVE-2025-58221
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność braku autoryzacji w PilotPress (wersje do 2.0.36) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą wykorzystać brak autoryzacji do wykonywania nieautoryzowanych operacji, co może prowadzić do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaktualizuj PilotPress do wersji, która zawiera poprawkę, lub skonfiguruj odpowiednio kontrolę dostępu.
Inne podatności w PilotPress
Zobacz wszystkie- CVE-2026-85659Wysokie
Wtyczka PilotPress dla WordPressa (wersje do 2.0.43 włącznie) jest podatna na eskalację uprawnień poprzez przejęcie konta. Procedura obsługi AJAX update_cc_details() przekazuje nazwę użytkownika do ONTRAPORT przed sprawdzeniem kolizji lokalnej, a po wykryciu kolizji nie wycofuje zdalnej zmiany nazwy, co pozwala uwierzytelnionemu atakującemu z uprawnieniami Subscriber przejąć konto Administratora.
- CVE-2025-58238Średnie
Wtyczka PilotPress dla WordPressa (wersje do 2.0.36 włącznie) zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in ONTRAPORT PilotPress pilotpress allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects PilotPress: from n/a through <= 2.0.36.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS