CVE-2025-69018
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność typu Cross-site Scripting (DOM-Based) w wtyczce Web Directory Free (wersje do 1.7.12 włącznie) wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji, danych logowania lub modyfikacji treści. Może to naruszyć bezpieczeństwo użytkowników katalogu.
Rekomendacja
Zaktualizuj wtyczkę Web Directory Free do najnowszej wersji, jeśli jest dostępna, lub rozważ jej wyłączenie do czasu wydania poprawki. Rozważ wdrożenie nagłówków CSP w celu ograniczenia wykonywania skryptów.
Inne podatności w Web Directory Free
Zobacz wszystkie- CVE-2026-28142Krytyczne
Nieuwierzytelniona podatność na wstrzykiwanie SQL w wtyczce Web Directory Free w wersjach do 1.7.13. Atakujący może wykonać dowolne zapytania SQL bez logowania.
- CVE-2026-14785Wysokie
Wtyczka Web Directory Free dla WordPressa w wersjach do 1.7.13 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'levels'. Brak odpowiedniego oczyszczania danych wejściowych i przygotowania zapytań SQL umożliwia nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Shamalli Web Directory Free web-directory-free allows DOM-Based XSS.This issue affects Web Directory Free: from n/a through <= 1.7.12.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS