Analityczne wykorzystywanie plików cookies
CVE-2025-13859: Luka w wtyczce AffiliateX – Amazon Affiliate Plugin dla WordPress umożliwiająca nieautoryzowaną modyfikację danych
Wtyczka AffiliateX dla WordPress ma lukę umożliwiającą atakującym z poziomem subskrybenta wstrzyknięcie złośliwego JavaScript. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 6.27%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka AffiliateX – Amazon Affiliate Plugin dla WordPress w wersjach od 1.0.0 do 1.3.9.3 posiada lukę umożliwiającą atakującym z uprawnieniami subskrybenta lub wyższymi wstrzyknięcie i wykonanie dowolnego kodu JavaScript podczas renderowania bloku AffiliateX na stronie. Problem wynika z braku odpowiedniej weryfikacji uprawnień w akcji AJAX save_customization_settings.
Wpływ biznesowy
Atakujący z dostępem na poziomie subskrybenta mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub innych działań szkodliwych dla witryny i jej odwiedzających. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z potencjalnym naruszeniem integralności i bezpieczeństwa danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich wdrożenie. W przypadku braku aktualizacji należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia luki.