Analityczne wykorzystywanie plików cookies
CVE-2025-12691: Stored XSS w wtyczce Photonic Gallery & Lightbox dla WordPress
Wtyczka WordPress Photonic Gallery & Lightbox do wersji 3.21 ma lukę Stored XSS umożliwiającą wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 7.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Photonic Gallery & Lightbox dla WordPress (do wersji 3.21 włącznie) zawiera lukę typu Stored Cross-Site Scripting (XSS) w funkcji lightbox, wynikającą z niewystarczającej sanitizacji i escapingu danych w atrybucie podpisu użytkownika. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka umożliwia uwierzytelnionym użytkownikom z poziomem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach korzystających z tej wtyczki istnieje ryzyko naruszenia integralności i bezpieczeństwa danych oraz reputacji firmy.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Photonic Gallery & Lightbox i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji lightbox. Regularna weryfikacja i audyt bezpieczeństwa wtyczek CMS jest kluczowa.