CVE-2025-63058
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność polegająca na ujawnieniu wrażliwych informacji systemowych w wtyczce Custom Field Template autorstwa Hiroakiego Miyashity umożliwia odzyskanie osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 2.7.6 włącznie.
Ocena ryzyka
Ryzyko polega na wycieku poufnych danych, takich jak hasła, klucze API lub dane osobowe, do nieautoryzowanych podmiotów. Może to prowadzić do naruszenia prywatności i bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację wtyczki Custom Field Template do wersji nowszej niż 2.7.6, jeśli dostępna jest poprawka. Należy również ograniczyć dostęp do wrażliwych danych i regularnie monitorować logi pod kątem nieautoryzowanych żądań.
Inne podatności w Custom Field Template
Zobacz wszystkie- CVE-2026-12995Średnie
Wtyczka Custom Field Template dla WordPressa w wersjach do 2.7.8 włącznie jest podatna na Insecure Direct Object Reference poprzez edit_meta_value z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może usuwać dowolne załączniki multimedialne w całej witrynie, podając dowolny numeryczny identyfikator załącznika w parametrze file-field wraz z odpowiednią flagą usunięcia, powodując utratę treści i uszkodzenie stron.
- CVE-2026-9855Średnie
Wtyczka Custom Field Template dla WordPressa jest podatna na ogólny SQL Injection poprzez parametr 'post_ID' we wszystkich wersjach do 2.7.8 włącznie, z powodu niewystarczającego escapingu parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych. Sprawdzanie uprawnień jest omijalne, ponieważ WordPress wewnętrznie rzutuje $id na liczbę całkowitą, podczas gdy pełny niesanityzowany ciąg jest przekazywany do zapytania.
- CVE-2026-57687Wysokie
Wtyczka Custom Field Template dla WordPressa w wersji 2.7.8 i starszych zawiera podatność na wstrzykiwanie SQL przez współtwórcę. Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwe zapytania SQL do bazy danych.
- CVE-2025-68607Średnie
Custom Field Template do wersji 2.7.7 zawiera podatność na ataki typu Stored XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu trwałe wstrzyknięcie złośliwego skryptu, który wykona się w przeglądarce innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Exposure of Sensitive System Information to an Unauthorized Control Sphere vulnerability in Hiroaki Miyashita Custom Field Template custom-field-template allows Retrieve Embedded Sensitive Data.This issue affects Custom Field Template: from n/a through <= 2.7.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS