Analityczne wykorzystywanie plików cookies
CVE-2025-0215: Reflected Cross-Site Scripting w wtyczce UpdraftPlus dla WordPress
Wtyczka UpdraftPlus do WordPress ma lukę XSS w wersjach do 1.24.12. Zalecane aktualizacje i ograniczenie ekspozycji panelu admina.
- CVSS
- 6.1 MEDIUM
- EPSS
- 28.54%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka UpdraftPlus: WP Backup & Migration dla WordPress do wersji 1.24.12 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametry showdata i initiate_restore. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, co umożliwia atakującym wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący bez uwierzytelnienia mogą nakłonić administratora do kliknięcia spreparowanego linku, co skutkuje wykonaniem złośliwego kodu w kontekście przeglądarki administratora. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań na koncie z uprawnieniami administratora, zagrażając integralności i bezpieczeństwu witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki UpdraftPlus i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję panelu administracyjnego, monitorować logi pod kątem podejrzanej aktywności oraz edukować administratorów o ryzyku kliknięcia nieznanych linków. Priorytetowo traktuj aktualizacje i weryfikację bezpieczeństwa środowiska WordPress.