CVE-2025-58918
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Motyw Entrada (od Waituk) zawiera podatność typu Cross-Site Request Forgery w wersjach od n/a do 5.7.7. Podatność ta umożliwia atakującemu wykorzystanie mechanizmu CSRF do wykonania nieautoryzowanych działań w kontekście zalogowanego administratora.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej zmiany ustawień motywu, co może prowadzić do naruszenia wyglądu strony lub wstrzyknięcia złośliwych skryptów.
Rekomendacja
Zaleca się aktualizację motywu Entrada do wersji nowszej niż 5.7.7, która zawiera poprawki zabezpieczające przed CSRF.
Powiązane podatności
- CVE-2026-17609Krytyczne
Wtyczka Super Forms dla WordPressa do wersji 6.3.316 włącznie zawiera podatność na arbitralne usuwanie katalogów. Dzieje się tak z powodu niewystarczającej walidacji pól JSON kontrolowanych przez atakującego oraz nieskutecznej ochrony ABSPATH, którą można łatwo obejść. Nieuwierzytelniony atakujący może rekurencyjnie usuwać dowolne katalogi na serwerze, w tym katalog główny WordPressa, pod warunkiem że administrator włączył opcję usuwania plików po wysłaniu formularza.
- CVE-2026-107282Krytyczne
Podatność w bibliotece AsyncHttpClient (AHC) przed wersjami 3.0.13 i 2.16.1 umożliwia powtórne wysłanie żądania do innego hosta, ale pozostawia oryginalny cel i kontekst proxy. Może to spowodować wysłanie ścieżki, nagłówka Host, poświadczeń lub zwykłego tekstu do miejsca docelowego replikacji.
- CVE-2026-76268Krytyczne
Podatność w Splunk Enterprise przed wersjami 10.4.3 i 10.2.7 pozwala nieuwierzytelnionemu użytkownikowi z dostępem sieciowym do API REST Patroni na członku klastra wyszukiwania na wykonanie poleceń systemu operacyjnego. Interfejs nie wymaga uwierzytelnienia dla krytycznych operacji konfiguracyjnych.
- CVE-2026-95606Krytyczne
Podatność na deserializację niezaufanych danych w wtyczce The Events Calendar umożliwia wstrzyknięcie obiektów. Dotyczy wersji do 6.17.4 włącznie.
- CVE-2026-95605Krytyczne
Podatność na wstrzyknięcie SQL w WP Data Access umożliwia niewidome wstrzyknięcie SQL. Dotyczy wersji do 5.5.82 włącznie.
- CVE-2026-76501Krytyczne
Podatność w funkcji SRv6 OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcje NGOAM i SRv6 są włączone.
- CVE-2026-76500Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą zasobów w całym ich cyklu życia (CWE-664). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76499Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą neutralizacją (CWE-707). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76498Krytyczne
Przegląd bezpieczeństwa w Cisco APIC ujawnił wiele podatności związanych z niewłaściwą kontrolą dostępu (CWE-284). Zostały one naprawione w wydaniach wzmacniających oprogramowanie.
- CVE-2026-76486Krytyczne
Podatność w funkcji VXLAN OAM (NGOAM) w Cisco NX-OS pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu z uprawnieniami roota lub spowodowanie ataku DoS. Wynika z niewłaściwej walidacji danych wejściowych, gdy funkcja NGOAM jest włączona.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) vulnerability in Waituk Entrada theme allows Cross Site Request Forgery.This issue affects Entrada: from n/a through 5.7.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS