CVE-2025-66064
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress "Giveaways and Contests by RafflePress" jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 1.12.20 włącznie. Brak lub nieprawidłowa walidacja nonce umożliwia nieuwierzytelnionym atakującym wykonanie akcji w imieniu administratora.
Ocena ryzyka
Atakujący może nakłonić administratora do wykonania niechcianej akcji, co może prowadzić do zmiany ustawień wtyczki lub innych skutków. Ryzyko dotyczy witryn WordPress z zainstalowaną tą wtyczką.
Rekomendacja
Zaktualizuj wtyczkę "Giveaways and Contests by RafflePress" do wersji nowszej niż 1.12.20, która zawiera poprawkę CSRF. Jeśli aktualizacja nie jest dostępna, rozważ wyłączenie wtyczki.
Inne podatności w Giveaways and Contests by RafflePress
Zobacz wszystkie- CVE-2026-97318Średnie
Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie waliduje prawidłowo adresu URL strony nadrzędnej giveaway przed zapisaniem go i późniejszym przekierowaniem na niego odwiedzających. Umożliwia to nieuwierzytelnionym atakującym sprawienie, że linki potwierdzenia i polecenia giveaway witryny przekierują odwiedzających na dowolną zewnętrzną stronę.
- CVE-2026-97317Średnie
Wtyczka WordPress Giveaways and Contests by RafflePress w wersji przed 1.12.27 nie usuwa klucza tajnego reCAPTCHA z ustawień giveaway osadzanych na publicznych stronach giveaway. Umożliwia to nieuwierzytelnionym odwiedzającym pobranie klucza tajnego dowolnego aktywnego giveaway, który ma skonfigurowaną reCAPTCHA.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) vulnerability in Syed Balkhi Giveaways and Contests by RafflePress rafflepress allows Cross Site Request Forgery.This issue affects Giveaways and Contests by RafflePress: from n/a through <= 1.12.20.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS