CVE-2025-9987
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Broadstreet dla WordPressa we wszystkich wersjach do 1.53.1 włącznie jest podatna na ujawnienie poufnych informacji poprzez akcję AJAX get_sponsored_meta(). Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wyodrębnić dane z chronionych hasłem i prywatnych szczegółów firmy.
Ocena ryzyka
Osoba z niskimi uprawnieniami może uzyskać dostęp do poufnych danych biznesowych, co może naruszyć prywatność i bezpieczeństwo informacji. Może to prowadzić do wycieku danych i konsekwencji prawnych.
Rekomendacja
Zaktualizuj wtyczkę Broadstreet do wersji nowszej niż 1.53.1. Do czasu aktualizacji rozważ ograniczenie dostępu do akcji AJAX get_sponsored_meta() lub wyłączenie wtyczki.
Inne podatności w Broadstreet
Zobacz wszystkie- CVE-2025-9989Średnie
Wtyczka Broadstreet dla WordPressa jest podatna na Stored Cross-Site Scripting przez ustawienia administratora we wszystkich wersjach do 1.53.1 włącznie z powodu niewystarczającej sanityzacji wejścia i escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora lub wyższymi wstrzyknięcie skryptów na strony, które wykonają się przy dostępie użytkownika. Dotyczy to tylko instalacji wielostanowiskowych i instalacji, gdzie unfiltered_html jest wyłączone.
- CVE-2025-9988Średnie
Wtyczka Broadstreet dla WordPress jest podatna na nieautoryzowany dostęp z powodu braku sprawdzenia uprawnień w akcji AJAX create_advertiser we wszystkich wersjach do 1.53.1 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Subscriber i wyższym tworzenie reklamodawców.
Oryginalny opis (angielski, źródło NVD)
The Broadstreet plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.53.1 via the get_sponsored_meta() AJAX action. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract data from password protected and private business details.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS