CVE-2025-58974
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka WPComplete do WordPressa zawiera podatność typu Stored Cross-site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Podatność dotyczy wersji do 2.9.5.2 włącznie.
Ocena ryzyka
Złośliwy skrypt zapisany w bazie danych może być wykonywany w przeglądarce każdego użytkownika odwiedzającego zainfekowaną stronę, co grozi przejęciem konta administratora. Ryzyko dotyczy wszystkich witryn z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę WPComplete do najnowszej wersji dostępnej u producenta, która nie zawiera podatności. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wydania poprawki.
Inne podatności w WPComplete
Zobacz wszystkie- CVE-2026-66479Wysokie
Podatność na Cross-Site Request Forgery (CSRF) w WPComplete od Liquid Web / StellarWP umożliwia przechowywany XSS. Problem dotyczy WPComplete w wersjach od n/a do 2.9.5.6.
- CVE-2026-77820Średnie
Wtyczka WPComplete dla WordPressa (wersje do 2.9.9.0 włącznie) jest podatna na trwały cross-site scripting (Stored XSS) poprzez atrybut shortcode 'empty' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to uwierzytelnionym atakującym z poziomem współtwórcy i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika. Wymaga to wersji premium oprogramowania. Uwaga: dotyczy to wyłącznie wersji pro.
- CVE-2026-66599Wysokie
Podatność na Cross Site Scripting (XSS) bez uwierzytelnienia w WPComplete w wersjach do 2.9.5.6. Umożliwia wstrzyknięcie złośliwego skryptu do strony.
- CVE-2025-49906Średnie
Wtyczka WPComplete ma brak autoryzacji, co pozwala na dostęp do funkcji, które powinny być ograniczone przez listy kontroli dostępu (ACL). Podatność dotyczy wersji do 2.9.5.3 włącznie.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in StellarWP WPComplete wpcomplete allows Stored XSS.This issue affects WPComplete: from n/a through <= 2.9.5.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS