CVE-2025-13149

ŚrednieCVSS 4.3

Opublikowano: 21/11/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Schedule Post Changes With PublishPress Future dla WordPressa w wersjach do 4.9.1 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia autoryzacji w funkcji saveFutureActionData. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może zmieniać status dowolnych postów i stron poprzez endpoint REST API.

Ocena ryzyka

Atakujący może zmieniać statusy postów i stron, co może prowadzić do nieautoryzowanych modyfikacji treści i zakłóceń w witrynie.

Rekomendacja

Zaktualizuj wtyczkę PublishPress Future do wersji nowszej niż 4.9.1 i ogranicz uprawnienia użytkownikom do niezbędnego minimum.

Inne podatności w PublishPress Future

CVE-2026-105261Średnie
Wtyczka Schedule Post Changes With PublishPress Future przed wersją 4.10.6 nie egzekwuje bezpiecznej listy dozwolonych elementów HTML dla atrybutu shortcode i nie neutralizuje tekstu kontrolowanego przez atakującego umieszczonego w wynikowym elemencie, co pozwala użytkownikom z rolą Contributor i wyżej na przechowywanie JavaScript, który wykonuje się w sesji każdego użytkownika z wyższymi uprawnieniami, który przegląda treść.

Oryginalny opis (angielski, źródło NVD)

The Schedule Post Changes With PublishPress Future: Unpublish, Delete, Change Status, Trash, Change Categories plugin for WordPress is vulnerable to unauthorized modification of data due to a missing authorization check on the "saveFutureActionData" function in all versions up to, and including, 4.9.1. This makes it possible for authenticated attackers, with author level access and above, to change the status of arbitrary posts and pages via the REST API endpoint.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS