Analityczne wykorzystywanie plików cookies
CVE-2025-12538: Stored Cross-Site Scripting w wtyczce Fleet Manager dla WordPress
Podatność XSS w wtyczce Fleet Manager do WordPress umożliwia ataki w instalacjach wielostanowiskowych. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.4 MEDIUM
- EPSS
- 12%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Fleet Manager dla WordPress do wersji 2.5.1 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami edytora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Podatność ta dotyczy instalacji wielostanowiskowych oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Operatorzy powinni ocenić ryzyko w środowiskach wielostanowiskowych i ograniczyć możliwość wstrzykiwania skryptów przez użytkowników z uprawnieniami edytora i wyższymi.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Fleet Manager i jej wdrożenie. W międzyczasie ograniczyć uprawnienia użytkowników do minimum niezbędnego oraz monitorować logi pod kątem podejrzanych działań. Warto również przejrzeć konfigurację opcji unfiltered_html i rozważyć jej dostosowanie, aby zmniejszyć ryzyko ataku.