CVE-2025-9499
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Ocean Extra dla WordPressa jest podatna na przechowywany XSS poprzez shortcode 'oceanwp_library' w wersjach do 2.4.9 włącznie, z powodu niewystarczającej sanityzacji i escapowania atrybutów podanych przez użytkownika. Uwierzytelniony atakujący z poziomem Contributor lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się przy wejściu na stronę.
Ocena ryzyka
Umożliwia to atakującemu wykonanie złośliwego kodu w przeglądarce ofiary, co może skutkować kradzieżą danych lub przejęciem sesji.
Rekomendacja
Zaktualizuj wtyczkę Ocean Extra do wersji powyżej 2.4.9 i ogranicz uprawnienia edycyjne.
Inne podatności w Ocean Extra
Zobacz wszystkie- CVE-2026-86803Średnie
Wtyczka The Ocean Extra dla WordPressa w wersjach do 2.6.0 włącznie jest podatna na wykonanie dowolnego shortcode. Wynika to z faktu, że oprogramowanie pozwala użytkownikom wykonać akcję, która nieprawidłowo waliduje wartość przed uruchomieniem do_shortcode. Umożliwia to nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów.
- CVE-2026-34903Średnie
Wtyczka Ocean Extra dla WordPressa (do wersji 2.5.3) zawiera podatność typu Missing Authorization, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Ocean Extra plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's oceanwp_library shortcode in all versions up to, and including, 2.4.9 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS