CVE-2025-67545

ŚrednieCVSS 6.5

Opublikowano: 09/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka FireBox jest podatna na atak typu Stored Cross-site Scripting (XSS) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji od n/a do <= 3.1.0-free.

Ocena ryzyka

Atakujący może trwale wstrzyknąć złośliwy skrypt, który będzie wykonywany, gdy użytkownik odwiedzi zainfekowaną stronę, co może prowadzić do kradzieży danych lub przejęcia sesji. Wpływa to na poufność i integralność danych użytkowników.

Rekomendacja

Zaktualizuj wtyczkę FireBox do wersji nowszej niż 3.1.0-free, gdy tylko będzie dostępna. Do czasu aktualizacji rozważ ograniczenie jej użycia lub wdrożenie dodatkowych zabezpieczeń przed XSS.

Inne podatności w FireBox

CVE-2026-76801Wysokie
Wtyczka FireBox dla WordPressa (do wersji 3.1.10 włącznie) jest podatna na zdalne wykonanie kodu z powodu obejścia listy czarnych znaków w funkcji Executer::allowedToRun() oraz braku sanityzacji wartości reguł warunków PHP przechowywanych przez REST API firebox_meta. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wykonać kod na serwerze. Na stronach zaktualizowanych z wersji wcześniejszej niż 3.1.10 funkcja Migrator::preserveCampaignRoleAccess() automatycznie nadaje rolę Autorowi uprawnienia edit_fireboxes i publish_fireboxes, obniżając próg wejścia do poziomu autora.

Oryginalny opis (angielski, źródło NVD)

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in FirePlugins FireBox firebox allows Stored XSS.This issue affects FireBox: from n/a through <= 3.1.0-free.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS