CVE-2026-15425

ŚrednieCVSS 6.4

Opublikowano: 25/07/2026(UTC)Zaktualizowano: 27/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka Yoast SEO dla WordPressa do wersji 28.0 włącznie jest podatna na trwałe ataki XSS poprzez pole Post Slug (post_name). Atakujący z dostępem na poziomie autora lub wyższym może wstrzyknąć złośliwy skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie. Warunkiem jest włączenie przyjaznych permalinków.

Ocena ryzyka

Atakujący może wykradać sesje użytkowników, przekierowywać na złośliwe strony lub modyfikować treść, co zagraża poufności i integralności danych.

Rekomendacja

Zaktualizuj wtyczkę Yoast SEO do najnowszej wersji. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie przyjaznych permalinków lub ograniczenie uprawnień autorów.

Inne podatności w Yoast SEO

CVE-2025-14481Średnie
Wtyczka Yoast SEO dla WordPressa do wersji 26.5 włącznie jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w punkcie końcowym REST API Meta Search. Brakuje w nim odpowiednich kontroli autoryzacji, które weryfikowałyby własność posta, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym na odczyt wrażliwych metadanych SEO z dowolnego posta na stronie, w tym postów innych użytkowników, prywatnych i szkiców.

Oryginalny opis (angielski, źródło NVD)

The Yoast SEO – Advanced SEO with real-time guidance and built-in AI plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Post Slug (post_name) in all versions up to, and including, 28.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires pretty permalinks to be enabled, as the exploit chain depends on get_permalink() embedding the stored percent-encoded post_name in the generated URL.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS