CVE-2025-60105
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Ditty zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Podatność występuje w wersjach od n/a do 3.1.58 włącznie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie zapisany i wykonany w przeglądarce użytkownika odwiedzającego stronę, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę Ditty do wersji nowszej niż 3.1.58, która zawiera poprawkę podatności.
Inne podatności w Ditty
Zobacz wszystkie- CVE-2026-27355Średnie
Wtyczka Ditty dla WordPressa w wersji 3.1.66 i starszych zawiera podatność na złamaną kontrolę dostępu, którą może wykorzystać niezalogowany atakujący.
- CVE-2026-94461Średnie
Podatność Cross Site Scripting (XSS) w wtyczce Ditty w wersjach do 3.1.69 włącznie. Podatność może być wykorzystana przez użytkownika z uprawnieniami Contributor.
- CVE-2026-93339Średnie
Ditty przed wersją 3.1.70 ma przechowywaną podatność XSS, która pozwala uwierzytelnionym użytkownikom z uprawnieniami Autora lub wyższymi wstrzykiwać dowolne elementy HTML przez złośliwe wartości atrybutów w tagach layoutu. Funkcja renderująca wstawia te wartości bez listy dozwolonych, omijając sanityzację wp_kses_post().
- CVE-2026-81274Średnie
Wtyczka Ditty w wersji 3.1.67 i wcześniejszych ma podatność polegającą na złamanej kontroli dostępu dla subskrybentów. Użytkownik z rolą subskrybenta może uzyskać nieautoryzowany dostęp do funkcji, do których nie powinien mieć uprawnień.
- CVE-2026-9011Wysokie
Podatność w pluginie Ditty dla WordPressa w wersjach do 3.1.65 – brak weryfikacji autoryzacji w punkcie końcowym AJAX ditty_init pozwala nieuwierzytelnionym atakującym na odczyt treści niepublicznych Dittys (w tym szkiców, oczekujących, zaplanowanych i wyłączonych) poprzez enumerację identyfikatorów postów.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in metaphorcreations Ditty ditty-news-ticker allows Stored XSS.This issue affects Ditty: from n/a through <= 3.1.58.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS