CVE-2025-9496

ŚrednieCVSS 6.4

Opublikowano: 11/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Enable Media Replace dla WordPressa jest podatna na przechowywane skryptowanie między witrynami (XSS) poprzez shortcode 'file_modified' we wszystkich wersjach do 4.1.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Organizacja może doświadczyć wykonania złośliwych skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków.

Rekomendacja

Zaleca się aktualizację wtyczki Enable Media Replace do najnowszej wersji, która zawiera poprawki zabezpieczeń, oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.

Inne podatności w Enable Media Replace

CVE-2026-57722Średnie
Wtyczka Enable Media Replace dla WordPressa zawiera podatność na trwałe ataki XSS (Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji od n/a do 4.2.1 włącznie.

Oryginalny opis (angielski, źródło NVD)

The Enable Media Replace plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's file_modified shortcode in all versions up to, and including, 4.1.6 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS