CVE-2025-63047
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w motywie ListingPro od CridioStudio umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.9.9 włącznie.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do funkcji administracyjnych lub danych, co może prowadzić do naruszenia integralności witryny. Brak autoryzacji może być wykorzystany przez nieuwierzytelnionych lub niskouprzywilejowanych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację motywu do najnowszej wersji, która zawiera poprawki zabezpieczeń. Dodatkowo należy przejrzeć konfigurację kontroli dostępu i zastosować zasadę najmniejszych uprawnień.
Inne podatności w ListingPro
Zobacz wszystkie- CVE-2026-65478Średnie
Wtyczka ListingPro w wersjach do 2.9.10 zawiera podatność na złamanie kontroli dostępu przez użytkownika z rolą Subskrybent. Osoba atakująca z takimi uprawnieniami może ominąć mechanizmy kontroli dostępu.
- CVE-2026-39438Krytyczne
W wersjach ListingPro do 2.9.10 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-42414Wysokie
Wtyczka ListingPro w wersjach do 2.9.12 włącznie zawiera podatność typu SQL Injection, którą może wykorzystać użytkownik z rolą Subscriber. Luka pozwala na wstrzyknięcie złośliwych zapytań SQL do bazy danych.
- CVE-2025-63046Średnie
Podatność typu DOM-Based XSS w wtyczce ListingPro pozwala na wstrzykiwanie złośliwego skryptu do strony generowanej przez wtyczkę. Atakujący może wykorzystać to do wykonania skryptu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in CridioStudio ListingPro listingpro allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects ListingPro: from n/a through <= 2.9.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS