Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce GPXpress dla WordPress (CVE-2025-13960)
Wtyczka GPXpress do WordPress ma lukę XSS umożliwiającą ataki przez użytkowników z uprawnieniami współpracownika i wyższymi. Zalecana aktualizacja i ograniczenia dostępu.
- CVSS
- 6.4 MEDIUM
- EPSS
- 14.83%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka GPXpress dla WordPress do wersji 1.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'gpxpress'. Luka wynika z niewystarczającej sanitacji i escapowania danych wejściowych użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.
Wpływ biznesowy
Atakujący z dostępem na poziomie współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki GPXpress do wersji po 1.3, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp użytkowników do poziomu niższego niż współpracownik, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej.