CVE-2025-13747
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.3 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez obejście wyrażenia regularnego w funkcji `nsp_shortcode` z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych na atrybutach dostarczonych przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami Contributor i wyższymi wstrzyknięcie dowolnych skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków w kontekście witryny.
Rekomendacja
Zaktualizuj wtyczkę NewStatPress do wersji nowszej niż 1.4.3, gdy tylko będzie dostępna, a do tego czasu ogranicz liczbę kont z uprawnieniami Contributor.
Inne podatności w NewStatPress
Zobacz wszystkie- CVE-2026-101924Wysokie
Wtyczka NewStatPress dla WordPressa do wersji 1.4.5 włącznie jest podatna na Stored Cross-Site Scripting przez pole 'Last referrers' na stronie administracyjnej Overview. Podatność wynika z niedostatecznego escapowania ciągu zapytania dostarczonego przez odwiedzającego, co pozwala nieuwierzytelnionym atakującym wstrzyknąć dowolne skrypty.
- CVE-2026-100153Wysokie
Wtyczka NewStatPress dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'QUERY_STRING / REQUEST_URI'. Z powodu niewystarczającej sanityzacji danych wejściowych i braku escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga umieszczenia przez administratora shortcode [NewStatPress type="Top Pages"] na publicznie widocznej stronie oraz zgromadzenia przez spreparowany URL wystarczającej liczby odsłon, aby pojawił się w rankingu top-N.
- CVE-2026-14845Średnie
Wtyczka NewStatPress dla WordPressa przed wersją 1.4.5 nie oczyszcza i nie koduje danych pochodzących z nieuwierzytelnionych żądań odwiedzających przed ich przechowaniem i późniejszym wyświetleniem w jednym z widgetów. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting na użytkowników przeglądających ten widget.
Oryginalny opis (angielski, źródło NVD)
The NewStatPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via a regex bypass in nsp_shortcode function in all versions up to, and including, 1.4.3 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS