Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce everviz dla WordPress (CVE-2025-11868)
Wtyczka everviz do WordPress ma lukę XSS umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 7.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka everviz dla WordPress w wersjach do 1.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybuty shortcode `everviz`. Luka wynika z niewłaściwej sanitacji danych wejściowych i braku odpowiedniego escapingu przy generowaniu elementu div, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę. Zagrożenie jest szczególnie istotne dla serwisów korzystających z tej wtyczki i posiadających wielu współtwórców.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki everviz i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa stron korzystających z tego pluginu.