Analityczne wykorzystywanie plików cookies
CVE-2025-12090: Wrażliwość Stored XSS w wtyczce Employee Spotlight dla WordPress
Wtyczka Employee Spotlight do WordPress ma podatność Stored XSS umożliwiającą ataki przez adresy URL mediów społecznościowych. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 7.37%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Employee Spotlight – Team Member Showcase & Meet the Team dla WordPress do wersji 5.1.2 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez nieodpowiednio oczyszczane i zabezpieczane adresy URL mediów społecznościowych. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z dostępem na poziomie współpracownika lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. W przypadku stron firmowych może to skutkować utratą zaufania klientów i naruszeniem bezpieczeństwa danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Employee Spotlight i jej instalację. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przyjmujących adresy URL mediów społecznościowych. Regularne przeglądy bezpieczeństwa i stosowanie zasad minimalnych uprawnień pomogą ograniczyć ryzyko.