CVE-2025-9895

ŚrednieCVSS 4.3

Opublikowano: 03/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka Notification Bar dla WordPressa jest podatna na Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 2.2 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w pliku 'subscriber-list-empty.php'. Nieuwierzytelniony atakujący może opróżnić listę subskrybentów poprzez sfałszowane żądanie, jeśli nakłoni administratora witryny do kliknięcia linku.

Ocena ryzyka

Atakujący może usunąć wszystkich subskrybentów, co prowadzi do utraty danych kontaktowych i potencjalnych strat marketingowych. Może to zaszkodzić relacjom z klientami i wymagać odbudowy listy.

Rekomendacja

Zaktualizuj wtyczkę Notification Bar do wersji nowszej niż 2.2, jeśli jest dostępna, lub usuń ją. Wdróż walidację nonce i regularnie twórz kopie zapasowe listy subskrybentów.

Inne podatności w Notification Bar

CVE-2025-15481Średnie
Wtyczka Notification Bar dla WordPressa do wersji 1.1.8 udostępnia nieuwierzytelniony skrypt eksportu CSV, który ujawnia wszystkie zapisane adresy e-mail subskrybentów.

Oryginalny opis (angielski, źródło NVD)

The Notification Bar plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.2. This is due to missing or incorrect nonce validation on the 'subscriber-list-empty.php' file. This makes it possible for unauthenticated attackers to empty the subscriber list via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS