Analityczne wykorzystywanie plików cookies
CVE-2025-2839: podatność Stored XSS w wtyczce WP Import Export Lite
Podatność Stored XSS w WP Import Export Lite do wersji 3.9.27 umożliwia atakującym z uprawnieniami Contributor wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 17.88%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp import export lite
Co wiadomo
Wtyczka WP Import Export Lite dla WordPress do wersji 3.9.27 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w funkcji 'wpiePreviewData' z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Kontrybutora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanych stron.
Wpływ biznesowy
Podatność ta pozwala na wykonywanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS, gdzie wielu użytkowników ma różne poziomy dostępu, zagrożenie to może wpłynąć na reputację firmy oraz bezpieczeństwo danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Import Export Lite u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.