CVE-2025-58238
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka PilotPress dla WordPressa (wersje do 2.0.36 włącznie) zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście sesji ofiary, przejąć ciasteczka, przekierować użytkownika lub wykonać działania w jego imieniu. Może to prowadzić do kradzieży danych logowania i eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę PilotPress do wersji nowszej niż 2.0.36. Dodatkowo wdróż nagłówki CSP i regularnie skanuj serwis pod kątem złośliwych skryptów.
Inne podatności w PilotPress
Zobacz wszystkie- CVE-2026-85659Wysokie
Wtyczka PilotPress dla WordPressa (wersje do 2.0.43 włącznie) jest podatna na eskalację uprawnień poprzez przejęcie konta. Procedura obsługi AJAX update_cc_details() przekazuje nazwę użytkownika do ONTRAPORT przed sprawdzeniem kolizji lokalnej, a po wykryciu kolizji nie wycofuje zdalnej zmiany nazwy, co pozwala uwierzytelnionemu atakującemu z uprawnieniami Subscriber przejąć konto Administratora.
- CVE-2025-58221Średnie
Podatność braku autoryzacji w PilotPress (wersje do 2.0.36) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in ONTRAPORT PilotPress pilotpress allows Stored XSS.This issue affects PilotPress: from n/a through <= 2.0.36.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS