CVE-2025-58648
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Simple JWT Login do WordPressa zawiera podatność na przechowywany atak XSS. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce administratora.
Ocena ryzyka
Przechowywany XSS może prowadzić do przejęcia sesji administratora, kradzieży danych lub modyfikacji treści strony.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, która zawiera poprawkę bezpieczeństwa.
Inne podatności w Simple JWT Login
Zobacz wszystkie- CVE-2026-19714Krytyczne
Wtyczka Simple JWT Login dla WordPressa przed wersją 3.6.8 nie weryfikuje grupy odbiorców (audience) tokenów tożsamości Google, co pozwala nieuwierzytelnionym użytkownikom na uwierzytelnienie się jako dowolny użytkownik, którego adres e-mail znajduje się w tokenie, włącznie z administratorem. Dotyczy to wszystkich instalacji z włączonym logowaniem przez Google.
- CVE-2026-39793Wysokie
Wtyczka Simple JWT Login w wersji 4.0.0 zawiera podatność typu Broken Authentication. Podatność może być wykorzystana przez użytkownika z rolą Subscriber.
- CVE-2026-14262Wysokie
Wtyczka Simple JWT Login dla WordPressa do wersji 3.6.6 włącznie zawiera podatność umożliwiającą ominięcie uwierzytelniania i eskalację uprawnień. Atakujący z dostępem na poziomie subskrybenta może wstrzyknąć adres e-mail administratora do parametru `payload`, co skutkuje wygenerowaniem JWT z tożsamością administratora i uzyskaniem pełnej sesji administracyjnej.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Nicu Micle Simple JWT Login simple-jwt-login allows Stored XSS.This issue affects Simple JWT Login: from n/a through <= 3.6.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS