Analityczne wykorzystywanie plików cookies
CVE-2025-11856: podatność Stored Cross-Site Scripting w wtyczce Eventbee Ticketing Widget dla WordPress
Podatność Stored XSS w wtyczce Eventbee Ticketing Widget do WordPress umożliwia atakującym wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 11.92%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Eventbee Ticketing Widget dla WordPress do wersji 1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'eventbeeticketwidget'. Problem wynika z niewłaściwego oczyszczania danych wejściowych i wyjściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, który zostanie wykonany w przeglądarce innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Eventbee Ticketing Widget i zaktualizować ją do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji zaleca się ograniczenie dostępu użytkowników do poziomu niższego niż współtwórca oraz przegląd i monitorowanie logów pod kątem podejrzanej aktywności. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.