CVE-2025-12089
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Wtyczka Data Tables Generator by Supsystic dla WordPressa do wersji 1.10.45 jest podatna na arbitralne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji cleanCache(). Umożliwia to uwierzytelnionym atakującym z dostępem administratora lub wyższym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko obejmuje możliwość usunięcia krytycznych plików, takich jak wp-config.php, co może prowadzić do całkowitej kompromitacji witryny WordPress.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz ograniczenie uprawnień administratora. Należy również regularnie tworzyć kopie zapasowe.
Inne podatności w Data Tables Generator by Supsystic
Zobacz wszystkie- CVE-2026-14877Średnie
Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'id' we wszystkich wersjach do 1.12.03 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej kontrybutora może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę.
- CVE-2026-96648Średnie
Wtyczka Data Tables Generator by Supsystic dla WordPressa jest podatna na przechowywany atak XSS przez wartość 'data' komórki tabeli w akcji updateRows we wszystkich wersjach do 1.15.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie do zainfekowanej strony. Wykorzystanie przez subskrybentów jest możliwe tylko wtedy, gdy administrator dodał ich rolę do ustawienia 'access_roles' wtyczki, co jest udokumentowaną i jawnie wspieraną funkcją.
Oryginalny opis (angielski, źródło NVD)
The Data Tables Generator by Supsystic plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the cleanCache() function in all versions up to, and including, 1.10.45. This makes it possible for authenticated attackers, with Administrator-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS