CVE-2025-9512

ŚrednieCVSS 6.1

Opublikowano: 01/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Schema & Structured Data for WP & AMP w wersjach przed 1.50 nieprawidłowo obsługuje modyfikacje atrybutów znaczników HTML. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored XSS poprzez komentarze do postów.

Ocena ryzyka

Nieuwierzytelniony atakujący może trwale wstrzyknąć złośliwy skrypt przez komentarze, który wykona się w przeglądarce użytkowników. Może to skutkować kradzieżą danych sesyjnych lub przejęciem konta.

Rekomendacja

Zaktualizuj wtyczkę Schema & Structured Data for WP & AMP do wersji 1.50 lub nowszej. Do czasu aktualizacji rozważ ograniczenie możliwości komentowania.

Inne podatności w Schema & Structured Data for WP & AMP WordPress plugin

CVE-2026-96570Wysokie
Wtyczka Schema & Structured Data for WP & AMP (wersje do 1.67 włącznie) jest podatna na przechowywany XSS przez parametr 'saswp_review_text'. Brak wystarczającej sanityzacji i escapowania danych wyjściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć złośliwe skrypty, które wykonają się u użytkownika odwiedzającego stronę. Nonce, który jest jedynym zabezpieczeniem, jest publicznie widoczny w kodzie shortcode, co czyni go nieskutecznym.

Oryginalny opis (angielski, źródło NVD)

The Schema & Structured Data for WP & AMP WordPress plugin before 1.50 does not properly handles HTML tag attribute modifications, making it possible for unauthenticated attackers to conduct Stored XSS attacks via post comments.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS