Analityczne wykorzystywanie plików cookies
CVE-2025-2613: Stored XSS w wtyczce Login Manager dla WordPress
Podatność Stored XSS w wtyczce Login Manager dla WordPress do wersji 2.0.5 umożliwia administratorom wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.4 MEDIUM
- EPSS
- 13.02%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Login Manager – Design Login Page, View Login Activity, Limit Login Attempts dla WordPress do wersji 2.0.5 zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez niestandardowe adresy URL logo i tła. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność pozwala użytkownikom z uprawnieniami administratora na wstrzyknięcie i wykonanie złośliwych skryptów w panelu WordPress, co może prowadzić do przejęcia sesji, modyfikacji zawartości lub innych działań na poziomie administratora. Zagrożenie dotyczy głównie instalacji multisite oraz środowisk z wyłączonym filtrem unfiltered_html, co może wpłynąć na integralność i bezpieczeństwo witryny.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Login Manager i jej instalację, jeśli jest dostępna. W przypadku braku łatki warto ograniczyć uprawnienia administratorów, zweryfikować i oczyścić niestandardowe adresy URL logo i tła oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć ponowne włączenie filtra unfiltered_html, jeśli to możliwe.