मुफ्त स्कैन करें
MEDIUMCVE-2025-67590CVSS 4.3

WordPress Ultimate FAQ प्लगइन <= 2.4.3 - क्रॉस साइट रिक्वेस्ट फोर्जरी (CSRF) भेद्यता

प्लेटफ़ॉर्म

wordpress

घटक

ultimate-faqs

में ठीक किया गया

2.5.4

AI Confidence: highNVDEPSS 0.0%समीक्षित: मई 2026
NVD पर देखें
सहेजें
आपकी भाषा में अनुवाद हो रहा है…

A Cross-Site Request Forgery (CSRF) vulnerability has been identified in the Ultimate FAQ WordPress plugin. This flaw allows an attacker to potentially perform unauthorized actions on a user's account if they are tricked into clicking a malicious link. The vulnerability affects versions from 0.0.0 through 2.4.3, and a patch is available in version 2.4.4.

WordPress

इस CVE को अपने प्रोजेक्ट में पहचानें

अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।

मुफ्त स्कैन करें

प्रभाव और हमले की स्थितियाँअनुवाद हो रहा है…

The CSRF vulnerability in Ultimate FAQ allows an attacker to craft malicious requests that appear to originate from a legitimate user. If a user is tricked into visiting a specially crafted URL, the attacker can execute actions on their behalf, such as modifying FAQ settings or creating new FAQs. This could lead to unauthorized changes to the website's content and potentially compromise the integrity of the site. The impact is amplified if the affected user has administrative privileges, as an attacker could then gain control over the entire WordPress installation.

शोषण संदर्भअनुवाद हो रहा है…

This vulnerability was publicly disclosed on 2025-12-09. No public proof-of-concept (POC) code has been identified as of this writing. The CVSS score of 4.3 (Medium) indicates a moderate probability of exploitation. It is not currently listed on the CISA KEV catalog.

कौन जोखिम में हैअनुवाद हो रहा है…

Websites utilizing the Ultimate FAQ plugin, particularly those running older versions (0.0.0–2.4.3), are at risk. Shared hosting environments where plugin updates are managed centrally are also at increased risk, as users may not have direct control over plugin versions.

पहचान के चरणअनुवाद हो रहा है…

• wordpress / composer / npm:

grep -r 'ultimate-faqs/includes/class-ultimate-faq-admin.php' * | grep -i 'wp_nonce_field'

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/ultimate-faq/includes/class-ultimate-faq-admin.php | grep -i 'ultimate-faqs'

हमले की समयरेखा

  1. Disclosure

    disclosure

खतरा खुफिया

एक्सप्लॉइट स्थिति

प्रूफ ऑफ कॉन्सेप्टअज्ञात
CISA KEVNO
इंटरनेट एक्सपोज़रउच्च

EPSS

0.02% (5% शतमक)

CISA SSVC

शोषणnone
स्वचालनीयno
तकनीकी प्रभावpartial

CVSS वेक्टर

खतरा इंटेलिजेंस· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N4.3MEDIUMAttack VectorNetworkहमलावर लक्ष्य तक कैसे पहुंचता हैAttack ComplexityLowशोषण के लिए आवश्यक शर्तेंPrivileges RequiredNoneहमले के लिए प्रमाणीकरण स्तरUser InteractionRequiredक्या पीड़ित को कार्रवाई करनी होगीScopeUnchangedघटक से परे प्रभावConfidentialityNoneसंवेदनशील डेटा उजागर होने का जोखिमIntegrityLowअनधिकृत डेटा संशोधन का जोखिमAvailabilityNoneसेवा बाधा का जोखिमnextguardhq.com · CVSS v3.1 आधार स्कोर
इन मेट्रिक्स का क्या मतलब है?
Attack Vector
नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
Attack Complexity
निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
Privileges Required
कोई नहीं — बिना प्रमाणीकरण के शोषण योग्य।
User Interaction
आवश्यक — पीड़ित को फ़ाइल खोलनी, लिंक पर क्लिक करना या पेज पर जाना होगा।
Scope
अपरिवर्तित — प्रभाव केवल कमज़ोर घटक तक सीमित।
Confidentiality
कोई नहीं — गोपनीयता पर कोई प्रभाव नहीं।
Integrity
निम्न — हमलावर सीमित दायरे में कुछ डेटा बदल सकता है।
Availability
कोई नहीं — उपलब्धता पर कोई प्रभाव नहीं।

प्रभावित सॉफ्टवेयर

घटकultimate-faqs
विक्रेताwordfence
प्रभावित श्रेणीमें ठीक किया गया
0.0.0 – 2.4.32.5.4

पैकेज जानकारी

सक्रिय इंस्टॉलेशन
30Kलोकप्रिय
प्लगइन रेटिंग
4.6
WordPress आवश्यक
6.0+
संगत संस्करण तक
7.0
PHP आवश्यक
7.4+
होमपेज

कमजोरी वर्गीकरण (CWE)

CWE-352

समयरेखा

  1. आरक्षित
  2. प्रकाशित
  3. संशोधित
  4. EPSS अद्यतन
प्रकाशन के -20 दिन बाद पैच

शमन और वर्कअराउंडअनुवाद हो रहा है…

The primary mitigation for CVE-2025-67590 is to upgrade the Ultimate FAQ plugin to version 2.4.4 or later. If immediate upgrading is not possible due to compatibility issues or testing requirements, consider implementing a Web Application Firewall (WAF) with CSRF protection rules. Additionally, ensure that all user accounts utilize strong, unique passwords and that two-factor authentication is enabled wherever possible. Regularly review WordPress user roles and permissions to minimize the potential impact of a successful attack.

कैसे ठीक करें

संस्करण 2.4.4 में अपडेट करें, या एक नया पैच किया गया संस्करण

CVE सुरक्षा न्यूज़लेटर

भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।

अक्सर पूछे जाने वाले सवालअनुवाद हो रहा है…

What is CVE-2025-67590 — CSRF in Ultimate FAQ WordPress Plugin?

CVE-2025-67590 is a Cross-Site Request Forgery (CSRF) vulnerability affecting versions 0.0.0–2.4.3 of the Ultimate FAQ WordPress plugin, allowing attackers to perform unauthorized actions.

Am I affected by CVE-2025-67590 in Ultimate FAQ WordPress Plugin?

You are affected if you are using the Ultimate FAQ plugin in WordPress versions 0.0.0 through 2.4.3. Check your plugin version and upgrade immediately if necessary.

How do I fix CVE-2025-67590 in Ultimate FAQ WordPress Plugin?

Upgrade the Ultimate FAQ plugin to version 2.4.4 or later to resolve the vulnerability. Consider WAF rules as a temporary mitigation.

Is CVE-2025-67590 being actively exploited?

As of the current date, there is no confirmed evidence of active exploitation, but the vulnerability is publicly known and could be targeted.

Where can I find the official Ultimate FAQ advisory for CVE-2025-67590?

Refer to the Rustaurius website and WordPress plugin repository for the latest advisory and update information regarding CVE-2025-67590.

क्या आपका प्रोजेक्ट प्रभावित है?

अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।

मुफ्त स्कैन करेंCVE खोजें