CVE-2025-9562

ŚrednieCVSS 6.4

Opublikowano: 18/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka Redirection for Contact Form 7 dla WordPressa do wersji 3.2.6 włącznie jest podatna na przechowywany atak XSS poprzez shortcode qs_date. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym na wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy ich odwiedzeniu.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaktualizuj wtyczkę Redirection for Contact Form 7 do najnowszej dostępnej wersji, która zawiera poprawki bezpieczeństwa. Dodatkowo ogranicz uprawnienia użytkowników do niezbędnego minimum.

Inne podatności w Redirection for Contact Form 7

CVE-2026-23970Wysokie
W wersjach Redirection for Contact Form 7 do 3.2.8 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript.

Oryginalny opis (angielski, źródło NVD)

The Redirection for Contact Form 7 plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's qs_date shortcode in all versions up to, and including, 3.2.6 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS