CVE-2025-9500

ŚrednieCVSS 6.4

Opublikowano: 30/08/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka TablePress dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'shortcode_debug' w wersjach do 3.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się w przeglądarce użytkownika odwiedzającego stronę.

Ocena ryzyka

Może to prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści strony przez atakującego z niskimi uprawnieniami.

Rekomendacja

Zaktualizuj wtyczkę TablePress do wersji nowszej niż 3.2 i rozważ ograniczenie uprawnień Contributor.

Inne podatności w TablePress

CVE-2026-56051Wysokie
Wtyczka TablePress dla WordPressa w wersji 3.3.1 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Osoba atakująca może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.

Oryginalny opis (angielski, źródło NVD)

The TablePress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘shortcode_debug’ parameter in all versions up to, and including, 3.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS