Analityczne wykorzystywanie plików cookies
CVE-2025-12185: podatność Stored Cross-Site Scripting w wtyczce StaffList dla WordPress
Podatność Stored XSS w wtyczce StaffList WordPress do 3.2.6, dotyczy multisite i wyłączonego unfiltered_html. Zalecana aktualizacja i monitorowanie.
- CVSS
- 4.4 MEDIUM
- EPSS
- 11.73%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka StaffList dla WordPress do wersji 3.2.6 włącznie zawiera lukę Stored Cross-Site Scripting, umożliwiającą administratorom wstrzykiwanie złośliwych skryptów w ustawieniach. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać i wykonywać złośliwe skrypty w panelu administracyjnym, co może prowadzić do przejęcia sesji lub manipulacji danymi. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączoną filtracją HTML, co wymaga szczególnej uwagi operatorów CMS.
Rekomendowane działania administratora
Zaleca się aktualizację wtyczki StaffList do najnowszej wersji po wydaniu poprawki przez producenta. W międzyczasie warto ograniczyć uprawnienia administratorów, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć włączenie filtracji unfiltered_html. Priorytetowo należy monitorować środowiska multisite.