Analityczne wykorzystywanie plików cookies
CVE-2025-2806: podatność Reflected XSS w wtyczce tagDiv Composer dla WordPress
Podatność Reflected XSS w wtyczce tagDiv Composer (do wersji 5.3) umożliwia ataki na strony WordPress z motywem Newspaper. Zalecane aktualizacje i monitorowanie.
- CVSS
- 6.1 MEDIUM
- EPSS
- 19.9%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- tagdiv composer
Co wiadomo
Wtyczka tagDiv Composer, używana przez motyw Newspaper w WordPress, jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'data' we wszystkich wersjach do 5.3 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co umożliwia atakującym wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność ta pozwala nieautoryzowanym atakującym na wstrzyknięcie i wykonanie złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli stron. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo jej infrastruktury webowej.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki tagDiv Composer u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję podatnych parametrów, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników o ryzyku klikania w nieznane linki. Priorytetowo traktuj aktualizacje i zabezpieczenia w środowiskach produkcyjnych.