CVE-2025-9878

ŚrednieCVSS 6.4

Opublikowano: 25/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 25/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka PPWP – Password Protect WordPress jest podatna na trwałe ataki typu Cross-Site Scripting (XSS) poprzez shortcode 'ppwp' w wersjach do 1.9.21 włącznie. Uwierzytelnieni atakujący z uprawnieniami współautora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie.

Ocena ryzyka

Ryzyko obejmuje kradzież danych użytkowników, przejęcie sesji oraz rozprzestrzenianie złośliwego oprogramowania.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie uprawnień współautorów do zaufanych osób.

Inne podatności w PPWP

CVE-2025-10005Średnie
Wtyczka PPWP dla WordPressa do wersji 1.9.20 włącznie jest podatna na Insecure Direct Object Reference przez akcję AJAX ppw_free_set_password z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą zaktualizować hasło dowolnego chronionego posta i uzyskać dostęp do jego treści.

Oryginalny opis (angielski, źródło NVD)

The PPWP – Password Protect WordPress | #1 Most-Reviewed Password Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'ppwp' shortcode in all versions up to, and including, 1.9.21 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.