CVE-2025-62874

ŚrednieCVSS 4.3

Opublikowano: 31/12/2025(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Podatność braku autoryzacji w wtyczce AnyComment (anycomment) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Dotyczy wersji do 0.3.6 włącznie.

Ocena ryzyka

Atakujący może uzyskać dostęp do funkcji administracyjnych lub danych bez odpowiednich uprawnień, co może prowadzić do naruszenia integralności i poufności systemu.

Rekomendacja

Zaleca się aktualizację wtyczki AnyComment do najnowszej wersji oraz przegląd konfiguracji uprawnień dostępu.

Inne podatności w AnyComment

CVE-2026-103422Wysokie
Wtyczka AnyComment dla WordPressa w wersjach do 0.3.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'email'. Wynika to z niewystarczającej sanityzacji danych wejściowych w publicznym punkcie końcowym REST /wp-json/anycomment/v1/subscribe oraz braku escapowania danych wyjściowych w AnyCommentSubscriptionsTable::column_default(), która zwraca zapisany adres e-mail dosłownie do komórki HTML <td>, gdy user_ID subskrypcji nie odpowiada istniejącemu WP_User. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się, gdy administrator odwiedzi stronę administracyjną AnyComment → Subscriptions.

Oryginalny opis (angielski, źródło NVD)

Missing Authorization vulnerability in Alexander AnyComment anycomment allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects AnyComment: from n/a through <= 0.3.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS