CVE-2025-7400

ŚrednieCVSS 6.4

Opublikowano: 07/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Featured Image from URL (FIFU) dla WordPressa do wersji 5.2.7 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez pola niestandardowe obrazu wyróżnionego. Niedostateczna sanityzacja wejścia i escapingu pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor na wstrzykiwanie skryptów, które wykonają się przy odwiedzeniu strony. Częściowo naprawiono w wersji 5.2.2.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwych skryptów w przeglądarkach odwiedzających, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaktualizuj wtyczkę FIFU do najnowszej wersji, która w pełni naprawia podatność.

Inne podatności w Featured Image from URL (FIFU)

CVE-2025-9984Średnie
Wtyczka Featured Image from URL (FIFU) dla WordPressa do wersji 5.2.7 ma brak sprawdzenia uprawnień w funkcji fifu_api_debug_posts(), co pozwala nieuwierzytelnionym atakującym na odczyt prywatnych i chronionych hasłem wpisów.

Oryginalny opis (angielski, źródło NVD)

The Featured Image from URL (FIFU) plugin for WordPress is vulnerable to Stored Cross-Site Scripting via a post's Featured Image custom fields in all versions up to, and including, 5.2.7 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. NOTE: This vulnerability was partially fixed in version 5.2.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS