CVE-2025-14767
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka WPC Badge Management dla WooCommerce dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut 'text' shortcodu `wpcbm_best_seller` we wszystkich wersjach do 3.1.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Shop Managera i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które będą wykonywane przy każdym dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący z uprawnieniami Shop Managera może wstrzyknąć złośliwe skrypty, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania wśród użytkowników odwiedzających zainfekowane strony.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która zawiera poprawki zabezpieczeń, oraz ograniczenie uprawnień użytkowników do minimum niezbędnego.
Inne podatności w WPC Badge Management for WooCommerce
Oryginalny opis (angielski, źródło NVD)
The WPC Badge Management for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'text' attribute of the `wpcbm_best_seller` shortcode in all versions up to, and including, 3.1.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Shop Manager-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS