Analityczne wykorzystywanie plików cookies
CVE-2025-1690: luka XSS w wtyczce ThemeMakers Stripe Checkout dla WordPress
Wtyczka ThemeMakers Stripe Checkout do WordPress ma lukę XSS umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy. Zalecana aktualizacja.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.34%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- stripe checkout
Co wiadomo
Wtyczka ThemeMakers Stripe Checkout do WordPressa w wersjach do 1.0.1 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez shortcode 'stripe'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych od użytkowników, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ThemeMakers Stripe Checkout i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przejrzeć logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Monitorowanie i priorytetyzacja działań naprawczych jest kluczowa dla ograniczenia ryzyka.