Analityczne wykorzystywanie plików cookies
Wielokrotne XSS w wtyczce DebateMaster dla WordPress (CVE-2025-14035)
Wtyczka DebateMaster do WordPress ma lukę XSS w opcjach kolorów, dotyczy multisite i wyłączonego unfiltered_html. Zalecane aktualizacje i ograniczenia dostępu.
- CVSS
- 4.4 MEDIUM
- EPSS
- 18.78%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka DebateMaster dla WordPress do wersji 1.0.0 zawiera lukę typu Stored Cross-Site Scripting w opcjach kolorów w ustawieniach wtyczki. Luka umożliwia administratorom wstrzyknięcie złośliwych skryptów, które wykonują się na stronach z shortcode debate, dotyczy instalacji multisite oraz tam, gdzie wyłączono unfiltered_html.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać i wykonywać złośliwe skrypty w panelu WordPress, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla użytkowników i infrastruktury. Luka dotyczy głównie instalacji multisite i środowisk z ograniczonym filtrowaniem HTML, co wymaga szczególnej uwagi przy zarządzaniu uprawnieniami i konfiguracją.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki DebateMaster i jej instalację. W międzyczasie ograniczyć dostęp administratorów do niezbędnego minimum, zweryfikować konfigurację multisite oraz ustawienia filtrowania HTML. Monitorować logi pod kątem podejrzanych działań związanych z shortcode debate i rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.