CVE-2025-9207
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wtyczka TI WooCommerce Wishlist dla WordPressa w wersjach do 2.10.0 włącznie jest podatna na wstrzyknięcie HTML. Wynika to z faktu, że wtyczka przyjmuje ukryte pola i nie ogranicza wartości ani danych, które można wprowadzić, a które są później wyświetlane. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego kodu HTML do elementów listy życzeń.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć dowolny kod HTML do list życzeń, co może prowadzić do phishingu, defacementu lub innych ataków na użytkowników witryny.
Rekomendacja
Zaktualizuj wtyczkę TI WooCommerce Wishlist do wersji nowszej niż 2.10.0, która zawiera poprawkę. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu jej załatania.
Inne podatności w TI WooCommerce Wishlist
Oryginalny opis (angielski, źródło NVD)
The TI WooCommerce Wishlist plugin for WordPress is vulnerable to HTML Injection in all versions up to, and including, 2.10.0. This is due to the plugin accepting hidden fields and not limiting the values or data that can input and is later output. This makes it possible for unauthenticated attackers to inject arbitrary HTML into wishlist items.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS