CVE-2025-12823

ŚrednieCVSS 6.4

Opublikowano: 18/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka CSV to SortTable dla WordPress jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez shortcode 'csv' we wszystkich wersjach do 4.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczanych przez użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Atakujący z kontem Contributor może umieścić złośliwy skrypt w treści strony, co może prowadzić do kradzieży sesji, przejęcia konta lub innych działań w przeglądarce ofiary. Ryzyko dotyczy organizacji, które pozwalają użytkownikom z niskimi uprawnieniami na edycję treści.

Rekomendacja

Zaktualizuj wtyczkę CSV to SortTable do wersji nowszej niż 4.2 lub usuń ją, jeśli nie jest używana. Rozważ ograniczenie uprawnień Contributor i wdrożenie dodatkowych mechanizmów walidacji treści.

Inne podatności w CSV to SortTable

CVE-2025-13070Średnie
Wtyczka CSV to SortTable dla WordPressa do wersji 4.2 nie waliduje niektórych atrybutów shortcode przed użyciem ich do generowania ścieżek przekazywanych do funkcji include. Umożliwia to uwierzytelnionym użytkownikom (np. autorom) przeprowadzanie ataków LFI (Local File Inclusion).

Oryginalny opis (angielski, źródło NVD)

The CSV to SortTable plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'csv' shortcode in all versions up to, and including, 4.2 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS