Analityczne wykorzystywanie plików cookies
CVE-2025-1203: Luka XSS w wtyczce MetaSlider dla WordPress
Wtyczka MetaSlider przed 3.95.0 umożliwia ataki Stored XSS przez użytkowników z uprawnieniami redaktora. Zalecana aktualizacja.
- CVSS
- 3.5 LOW
- EPSS
- 19.54%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- slider\, gallery\, and carousel
Co wiadomo
Wtyczka MetaSlider dla WordPress (wersje przed 3.95.0) nie sanitizuje i nie ucieka niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. redaktorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone.
Wpływ biznesowy
Atakujący z uprawnieniami redaktora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla witryny. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ ograniczenia unfiltered_html nie chronią przed tym atakiem. Warto ocenić ryzyko w kontekście posiadanych uprawnień użytkowników i charakteru witryny.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki MetaSlider do wersji 3.95.0 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.