CVE-2025-63073
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność typu DOM-Based XSS w motywie The7 firmy Dream-Theme. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony internetowej umożliwia atak z wykorzystaniem skryptów po stronie przeglądarki.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub modyfikacji treści strony.
Rekomendacja
Zaktualizuj motyw The7 do wersji 12.9.0 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w The7
Zobacz wszystkie- CVE-2026-66588Wysokie
Motyw The7 w wersjach do 14.2.2 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Osoba atakująca bez logowania może uzyskać nieautoryzowany dostęp do funkcji lub danych.
- CVE-2025-11897Średnie
Motyw The7 dla WordPressa jest podatny na przechowywany atak XSS poprzez parametr 'the7_fancy_title_css' we wszystkich wersjach do 12.9.1 włącznie. Brak odpowiedniego oczyszczania wejścia i wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów na strony.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Dream-Theme The7 dt-the7 allows DOM-Based XSS.This issue affects The7: from n/a through < 12.9.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS