CVE-2025-68607
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Custom Field Template do wersji 2.7.7 zawiera podatność na ataki typu Stored XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu trwałe wstrzyknięcie złośliwego skryptu, który wykona się w przeglądarce innych użytkowników.
Ocena ryzyka
Atakujący może wykraść dane, przejąć sesje użytkowników lub wykonać nieautoryzowane działania, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Custom Field Template do najnowszej wersji, która zawiera poprawkę eliminującą podatność. Dodatkowo rozważ zastosowanie polityk bezpieczeństwa treści (CSP) w celu ograniczenia ryzyka XSS.
Inne podatności w Custom Field Template
Zobacz wszystkie- CVE-2026-12995Średnie
Wtyczka Custom Field Template dla WordPressa w wersjach do 2.7.8 włącznie jest podatna na Insecure Direct Object Reference poprzez edit_meta_value z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelniony atakujący z uprawnieniami współpracownika lub wyższymi może usuwać dowolne załączniki multimedialne w całej witrynie, podając dowolny numeryczny identyfikator załącznika w parametrze file-field wraz z odpowiednią flagą usunięcia, powodując utratę treści i uszkodzenie stron.
- CVE-2026-9855Średnie
Wtyczka Custom Field Template dla WordPressa jest podatna na ogólny SQL Injection poprzez parametr 'post_ID' we wszystkich wersjach do 2.7.8 włącznie, z powodu niewystarczającego escapingu parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wyciągnięcia wrażliwych informacji z bazy danych. Sprawdzanie uprawnień jest omijalne, ponieważ WordPress wewnętrznie rzutuje $id na liczbę całkowitą, podczas gdy pełny niesanityzowany ciąg jest przekazywany do zapytania.
- CVE-2026-57687Wysokie
Wtyczka Custom Field Template dla WordPressa w wersji 2.7.8 i starszych zawiera podatność na wstrzykiwanie SQL przez współtwórcę. Atakujący z uprawnieniami współtwórcy może wstrzyknąć złośliwe zapytania SQL do bazy danych.
- CVE-2025-63058Średnie
Podatność polegająca na ujawnieniu wrażliwych informacji systemowych w wtyczce Custom Field Template autorstwa Hiroakiego Miyashity umożliwia odzyskanie osadzonych danych wrażliwych. Problem dotyczy wersji od n/a do 2.7.6 włącznie.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Hiroaki Miyashita Custom Field Template custom-field-template allows Stored XSS.This issue affects Custom Field Template: from n/a through <= 2.7.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS