CVE-2023-2572
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Survey Maker przed wersją 3.4.7 nie escapuje niektórych parametrów przed ich wyświetleniem w atrybutach, co prowadzi do Reflected Cross-Site Scripting, który może być wykorzystany przeciwko użytkownikom o wysokich uprawnieniach, takim jak administrator.
Ocena ryzyka
Atakujący może nakłonić administratora do kliknięcia spreparowanego linku, co pozwoli na wykonanie złośliwego skryptu w jego sesji i potencjalne przejęcie konta.
Rekomendacja
Zaktualizuj wtyczkę Survey Maker do wersji 3.4.7 lub nowszej. Wdróż escapowanie danych wyjściowych.
Inne podatności w Survey Maker
Zobacz wszystkie- CVE-2026-65565Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Survey Maker w wersjach do 5.2.3.3.
- CVE-2026-57361Wysokie
Wtyczka Survey Maker dla WordPressa w wersji 5.2.2.5 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego skryptu bez konieczności logowania.
- CVE-2025-64276Średnie
Wtyczka WordPress Survey Maker (survey-maker) od Ays Pro zawiera podatność typu Missing Authorization wynikającą z błędnie skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 5.1.9.4 włącznie.
- CVE-2025-12891Średnie
Wtyczka WordPress Survey Maker jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'ays_survey_show_results' we wszystkich wersjach do 5.1.9.4 włącznie. Umożliwia to nieuwierzytelnionym atakującym przeglądanie wszystkich odpowiedzi ankiet.
- CVE-2025-48095Średnie
Wtyczka Survey Maker (wersje do 5.1.8.8 włącznie) zawiera lukę przechowywanego cross-site scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Złośliwe skrypty mogą być zapisane i wykonane u użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Survey Maker WordPress plugin before 3.4.7 does not escape some parameters before outputting them back in attributes, leading to Reflected Cross-Site Scripting which could be used against high privilege users such as admin
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS