Analityczne wykorzystywanie plików cookies
CVE-2025-11197: podatność Stored XSS w wtyczce Draft List dla WordPress
Podatność Stored XSS w wtyczce Draft List WordPress do wersji 2.6.1 umożliwia ataki przez shortcode 'drafts'. Zalecane szybkie aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 12.12%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Draft List dla WordPress do wersji 2.6.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'drafts'. Niewystarczająca sanitacja i escapowanie danych wejściowych umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników, defraudacji danych lub dalszej eskalacji ataku w środowisku WordPress. Właściciele stron i operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza w serwisach z wieloma użytkownikami o różnym poziomie uprawnień.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Draft List i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'drafts. Warto również przeprowadzić audyt bezpieczeństwa i edukację użytkowników o ryzyku XSS.