CVE-2025-67551
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Wappointment (wersje do 2.6.9 włącznie) zawiera podatność typu stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych. Umożliwia to atakującemu wstrzyknięcie złośliwego skryptu.
Ocena ryzyka
Atakujący może wykonać dowolny JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży danych sesyjnych lub przejęcia konta. Ryzyko dotyczy wszystkich użytkowników odwiedzających zainfekowane strony.
Rekomendacja
Zaktualizuj wtyczkę Wappointment do wersji nowszej niż 2.6.9. Dodatkowo wdróż walidację i sanityzację danych wejściowych w formularzach.
Inne podatności w Wappointment
Zobacz wszystkie- CVE-2026-39756Średnie
Wtyczka Wappointment w wersjach do 2.7.7 włącznie zawiera podatność typu Insecure Direct Object References (IDOR), która pozwala nieuwierzytelnionemu atakującemu na dostęp do zasobów, do których nie powinien mieć uprawnień.
- CVE-2026-9188Średnie
Wtyczka Wappointment dla WordPressa do wersji 2.7.6 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Klucz autoryzacyjny `edit_key` jest generowany jako przewidywalny, niesolony hash MD5 z sekwencyjnego identyfikatora klienta, publicznie dostępnego znacznika czasu i małego identyfikatora personelu, co pozwala nieuwierzytelnionym atakującym na obliczenie go i anulowanie lub przełożenie wizyt innych użytkowników.
- CVE-2025-68575Średnie
Brak autoryzacji w dodatku Wappointment do wersji 2.7.6 umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Wappointment team Wappointment wappointment allows Stored XSS.This issue affects Wappointment: from n/a through <= 2.6.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS