CVE-2025-68504
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
JetSearch do wersji 3.5.16 zawiera podatność na ataki typu DOM-Based XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wykonanie złośliwego skryptu w przeglądarce ofiary.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, wykraść dane lub wykonać nieautoryzowane działania w kontekście ofiary, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj JetSearch do najnowszej wersji, która zawiera poprawkę eliminującą podatność. Dodatkowo rozważ zastosowanie polityk bezpieczeństwa treści (CSP) w celu ograniczenia ryzyka XSS.
Inne podatności w JetSearch
Zobacz wszystkie- CVE-2026-49079Krytyczne
Wersje JetSearch do 3.5.17 zawierają podatność na nieautoryzowaną injekcję SQL, co może prowadzić do nieautoryzowanego dostępu do danych.
- CVE-2026-66577Średnie
Wtyczka JetSearch w wersjach do 3.6.3 włącznie jest podatna na Cross Site Scripting (XSS). Użytkownik z uprawnieniami Contributor może wstrzyknąć złośliwy skrypt.
- CVE-2026-61977Średnie
Wtyczka JetSearch dla WordPressa (wersje do 3.6.1.2) zawiera podatność umożliwiającą nieautoryzowanym użytkownikom dostęp do wrażliwych danych systemowych. Luka ta pozwala na odczytanie osadzonych danych wrażliwych, co może prowadzić do wycieku informacji.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Crocoblock JetSearch jet-search allows DOM-Based XSS.This issue affects JetSearch: from n/a through <= 3.5.16.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS