CVE-2025-9886
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Trinity Audio – Text to Speech AI dla WordPressa do wersji 5.20.2 włącznie jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w pliku '/admin/inc/post-management.php'. Niezalogowani atakujący mogą aktywować/dezaktywować posty, jeśli nakłonią administratora do kliknięcia w link.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną modyfikację treści strony, co może prowadzić do utraty integralności danych lub zakłócenia działania serwisu.
Rekomendacja
Zaktualizuj wtyczkę Trinity Audio do wersji, która zawiera poprawkę.
Inne podatności w Trinity Audio
Zobacz wszystkie- CVE-2025-67466Średnie
Wtyczka Trinity Audio do WordPressa (wersje do 5.23.3 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to nieuprawnionym użytkownikom na wykonywanie operacji, które powinny być chronione.
- CVE-2025-9952Średnie
Wtyczka Trinity Audio – Text to Speech AI audio player dla WordPress jest podatna na odbity skrypt XSS przez parametr 'range-date' we wszystkich wersjach do 5.20.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapingu. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów, które wykonają się, jeśli użytkownik kliknie w link.
Oryginalny opis (angielski, źródło NVD)
The Trinity Audio – Text to Speech AI audio player to convert content into audio plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 5.20.2. This is due to missing or incorrect nonce validation in the '/admin/inc/post-management.php' file. This makes it possible for unauthenticated attackers to activate/deactivate posts via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS