Analityczne wykorzystywanie plików cookies
CVE-2025-1452: luka XSS w wtyczce Favorites dla WordPress
Wtyczka Favorites WordPress przed 2.3.5 umożliwia ataki Stored XSS przez administratorów. Zalecana aktualizacja do wersji 2.3.5 lub wyższej.
- CVSS
- 3.5 LOW
- EPSS
- 15.97%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- favorites
Co wiadomo
Wtyczka Favorites dla WordPress w wersjach przed 2.3.5 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona (np. w konfiguracji multisite).
Wpływ biznesowy
Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co może skutkować przejęciem sesji, zmianą ustawień witryny lub innymi nieautoryzowanymi działaniami. Zagrożenie jest niskie, ale w środowiskach multisite lub tam, gdzie dostęp mają liczni administratorzy, ryzyko wzrasta. Warto zwrócić uwagę na tę podatność w celu ochrony integralności i bezpieczeństwa witryny.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Favorites do wersji 2.3.5 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, przegląd konfiguracji multisite i uprawnień użytkowników może pomóc w ograniczeniu potencjalnego ryzyka.