CVE-2025-9436

ŚrednieCVSS 6.4

Opublikowano: 11/12/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka Widgets for Google Reviews dla WordPressa jest podatna na przechowywany atak XSS przez shortcode `trustindex` w wersjach do 13.2.1 włącznie. Problem wynika z niedostatecznej sanityzacji wejścia i braku escapowania wyjścia atrybutów dostarczanych przez użytkownika.

Ocena ryzyka

Autoryzowani atakujący z dostępem na poziomie współautora mogą wstrzyknąć złośliwe skrypty, które wykonają się podczas przeglądania strony, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaktualizuj wtyczkę Widgets for Google Reviews do najnowszej wersji. Ogranicz dostęp do kont o niskich uprawnieniach i regularnie audytuj treści.

Inne podatności w Widgets for Google Reviews

CVE-2026-11591Średnie
Wtyczka Widgets for Google Reviews dla WordPressa jest podatna na trwały atak XSS przez ustawienia administratora we wszystkich wersjach do 13.3 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika.

Oryginalny opis (angielski, źródło NVD)

The Widgets for Google Reviews plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's `trustindex` shortcode in all versions up to, and including, 13.2.1 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS