Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Fancy Product Designer dla WordPress (CVE-2025-12570)
Wtyczka Fancy Product Designer do WordPress ma lukę XSS przez przesyłanie SVG. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 7.2 HIGH
- EPSS
- 12.23%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Fancy Product Designer dla WordPress do wersji 6.4.8 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka wynika z niewystarczającej sanitacji danych i zabezpieczeń w plikach data-to-image.php oraz pdf-to-image.php, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w kontekście użytkownika odwiedzającego stronę, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Zagrożenie jest istotne dla operatorów stron WordPress korzystających z tej wtyczki, szczególnie jeśli umożliwiają przesyłanie plików SVG przez użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Fancy Product Designer i ich wdrożenie. W przypadku braku łatki należy ograniczyć możliwość przesyłania plików SVG, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć dodatkowe mechanizmy filtrowania i sanitacji przesyłanych plików. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress przed podobnymi atakami.