CVE-2025-8383

ŚrednieCVSS 4.3

Opublikowano: 31/10/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka Depicter dla WordPressa do wersji 4.0.4 włącznie jest podatna na Cross-Site Request Forgery z powodu braku lub nieprawidłowej walidacji nonce w funkcji depicter-document-rules-store. Umożliwia to nieuwierzytelnionym atakującym modyfikację reguł dokumentów poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia linku.

Ocena ryzyka

Atakujący może zmienić reguły dokumentów, co może prowadzić do nieautoryzowanych zmian w treści lub funkcjonalności strony, potencjalnie naruszając integralność witryny.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Depicter do najnowszej wersji, która zawiera poprawki zabezpieczające przed CSRF.

Inne podatności w Depicter

CVE-2026-15049Wysokie
Wtyczka Depicter — Popup & Slider Builder dla WordPressa przed wersją 4.8.0 nie waliduje typu pliku przesyłanego przez funkcję importu i nie usuwa nieprawidłowego przesyłania, co pozwala użytkownikom z dostępem na poziomie edytora na zapis dowolnego pliku (w tym wykonywalnego PHP) w katalogu dostępnym z sieci, co może prowadzić do zdalnego wykonania kodu.

Oryginalny opis (angielski, źródło NVD)

The Depicter plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions less than, or equal to, 4.0.4. This is due to missing or incorrect nonce validation on the depicter-document-rules-store function. This makes it possible for unauthenticated attackers to modify document rules via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS