CVE-2025-9952
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Trinity Audio – Text to Speech AI audio player dla WordPress jest podatna na odbity skrypt XSS przez parametr 'range-date' we wszystkich wersjach do 5.20.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapingu. Umożliwia to nieuwierzytelnionym atakującym wstrzykiwanie dowolnych skryptów, które wykonają się, jeśli użytkownik kliknie w link.
Ocena ryzyka
Ryzyko wykonania złośliwych skryptów w przeglądarce użytkownika po kliknięciu w link, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę Trinity Audio do najnowszej wersji, która zawiera poprawkę, oraz edukuj użytkowników o ryzyku klikania w podejrzane linki.
Inne podatności w Trinity Audio
Zobacz wszystkie- CVE-2025-67466Średnie
Wtyczka Trinity Audio do WordPressa (wersje do 5.23.3 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Pozwala to nieuprawnionym użytkownikom na wykonywanie operacji, które powinny być chronione.
- CVE-2025-9886Średnie
Wtyczka Trinity Audio – Text to Speech AI dla WordPressa do wersji 5.20.2 włącznie jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku lub błędnej walidacji nonce w pliku '/admin/inc/post-management.php'. Niezalogowani atakujący mogą aktywować/dezaktywować posty, jeśli nakłonią administratora do kliknięcia w link.
Oryginalny opis (angielski, źródło NVD)
The Trinity Audio – Text to Speech AI audio player to convert content into audio plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'range-date' parameter in all versions up to, and including, 5.20.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS