CVE-2025-60114

ŚrednieCVSS 6.6

Opublikowano: 26/09/2025(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka YayCurrency dla WordPressa (wersje do 3.3.1 włącznie) zawiera podatność typu Code Injection wynikającą z niewłaściwej kontroli generowania kodu. Nieuwierzytelniony lub uprawniony użytkownik może wstrzyknąć i wykonać dowolny kod w kontekście aplikacji.

Ocena ryzyka

Wykorzystanie podatności może doprowadzić do pełnego przejęcia serwisu WordPress, kradzieży danych, instalacji backdoorów lub modyfikacji treści. Ryzyko jest wysokie, ponieważ wtyczka działa w kontekście serwera WWW.

Rekomendacja

Zaktualizuj wtyczkę YayCurrency do wersji nowszej niż 3.3.1 lub ją wyłącz, jeśli aktualizacja nie jest dostępna. Dodatkowo przejrzyj logi serwera pod kątem nietypowych żądań i wykonanych plików PHP.

Inne podatności w YayCurrency

CVE-2026-16058Średnie
Wtyczka YayCurrency dla WordPressa przed wersją 3.3.5 nie przeprowadza żadnych kontroli uprawnień ani własności w kilku swoich modułach obsługi integracji multi-sprzedawców, które są dostępne dla nieuwierzytelnionych użytkowników, co pozwala każdemu na odczyt sum zamówień sklepu oraz zarobków sprzedawców, ksiąg bilansowych i historii wypłat poprzez iterowanie identyfikatorów.

Oryginalny opis (angielski, źródło NVD)

Improper Control of Generation of Code ('Code Injection') vulnerability in YayCommerce YayCurrency yaycurrency allows Code Injection.This issue affects YayCurrency: from n/a through <= 3.3.1.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS