CVE-2025-9560
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Colibri Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting poprzez shortcode colibri_newsletter we wszystkich wersjach do 1.0.334 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami współautora może wstrzyknąć trwałe złośliwe skrypty, które będą wykonywane u innych użytkowników, co może prowadzić do przejęcia sesji lub rozprzestrzeniania złośliwego kodu.
Rekomendacja
Zaktualizuj wtyczkę Colibri Page Builder do wersji nowszej niż 1.0.334. Ogranicz liczbę użytkowników z uprawnieniami współautora i regularnie przeglądaj zawartość stron.
Inne podatności w Colibri Page Builder
Zobacz wszystkie- CVE-2025-11376Średnie
Wtyczka Colibri Page Builder dla WordPressa jest podatna na trwały atak XSS (Stored Cross-Site Scripting) poprzez shortcode 'colibri_loop' we wszystkich wersjach do 1.0.335 włącznie. Problem wynika z niewystarczającej sanityzacji danych wejściowych i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika.
- CVE-2025-59593Średnie
Wtyczka Colibri Page Builder dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Luka ta występuje w wersjach od nieznanej do mniejszej niż 1.0.334.
Oryginalny opis (angielski, źródło NVD)
The Colibri Page Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's colibri_newsletter shortcode in all versions up to, and including, 1.0.334 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS