Analityczne wykorzystywanie plików cookies
CVE-2025-10196: Stored Cross-Site Scripting w wtyczce Survey Anyplace dla WordPress
Podatność Stored XSS w wtyczce Survey Anyplace dla WordPress umożliwia wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 12.12%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Survey Anyplace dla WordPress do wersji 1.0.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'surveyanyplace_embed'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez odpowiednich zabezpieczeń zwiększa ryzyko naruszenia integralności witryny.
Rekomendowane działania administratora
Zaleca się sprawdzenie dostępności aktualizacji wtyczki Survey Anyplace i ich niezwłoczne zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'surveyanyplace_embed'. Regularne przeglądy bezpieczeństwa i edukacja użytkowników pomogą zminimalizować ryzyko wykorzystania tej luki.