CVE-2025-67550

ŚrednieCVSS 6.5

Opublikowano: 09/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Donation Thermometer do WordPressa (wersje do 2.2.6) ma podatność na Stored XSS z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Atakujący może zapisać złośliwy skrypt, który wykona się przy każdej wizycie użytkownika.

Ocena ryzyka

Ryzyko trwałego zainfekowania strony, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zalecane jest zaktualizowanie wtyczki do najnowszej wersji, jeśli dostępna, oraz dokładne sanityzowanie wszystkich danych wejściowych przed zapisaniem.

Inne podatności w Donation Thermometer

CVE-2026-92409Średnie
Wtyczka WordPress Donation Thermometer w wersji przed 2.3.0 nie escapuje wartości koloru pobranej z atrybutu shortcode przed użyciem jej w atrybucie generowanego znacznika legendy. Umożliwia to użytkownikom z rolą Contributor i wyższą wstrzyknięcie dowolnych procedur obsługi zdarzeń, które wykonają się przy wyświetleniu strony.

Oryginalny opis (angielski, źródło NVD)

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in rhewlif Donation Thermometer donation-thermometer allows Stored XSS.This issue affects Donation Thermometer: from n/a through <= 2.2.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS