CVE-2026-5725
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Favicon Rotator dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez parametry żądania z prefiksem 'fvrt_' we wszystkich wersjach do 1.2.11 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów, które wykonają się w przeglądarce ofiary, prowadząc do kradzieży danych, przejęcia sesji lub innych ataków. Ryzyko jest szczególnie wysokie, jeśli użytkownicy klikają w złośliwe linki.
Rekomendacja
Zaleca się aktualizację wtyczki Favicon Rotator do najnowszej wersji z poprawką. Należy również edukować użytkowników, aby nie klikali w podejrzane linki.
Inne podatności w Favicon Rotator
Oryginalny opis (angielski, źródło NVD)
The Favicon Rotator plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'fvrt_' prefixed request parameters in all versions up to, and including, 1.2.11 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS