Analityczne wykorzystywanie plików cookies
CVE-2025-10006: podatność XSS w wtyczce WPBakery Page Builder
Podatność XSS w WPBakery Page Builder (CVE-2025-10006) pozwala na wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa i aktualizacje wtyczki.
- CVSS
- 6.4 MEDIUM
- EPSS
- 12.29%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- page builder
Co wiadomo
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'rev_slider_vc' we wszystkich wersjach do 8.6 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkowników.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i administratorów. Luka jest aktywna tylko, gdy zainstalowany jest również plugin RevSlider, co ogranicza zakres potencjalnych zagrożeń.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPBakery Page Builder oraz RevSlider u dostawcy. W międzyczasie ogranicz dostęp do panelu edycji stron do zaufanych użytkowników i monitoruj logi pod kątem podejrzanych działań. Warto również rozważyć tymczasowe wyłączenie shortcode 'rev_slider_vc', jeśli to możliwe, aby zminimalizować ryzyko wykorzystania luki.