Analityczne wykorzystywanie plików cookies
CVE-2025-3503: podatność WP Maps na atak Stored Cross-Site Scripting
Wtyczka WP Maps przed 4.7.2 umożliwia atak Stored XSS przez administratorów. Zalecana aktualizacja i ograniczenie dostępu.
- CVSS
- 4.8 MEDIUM
- EPSS
- 17.39%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp maps
Co wiadomo
Wtyczka WP Maps dla WordPressa w wersjach przed 4.7.2 nie sanitizuje i nie ucieka niektórych ustawień map, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataku Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona.
Wpływ biznesowy
Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, podatność nadal umożliwia eskalację ataku. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli WP Maps jest aktywnie używany i dostępny dla użytkowników z wysokimi uprawnieniami.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki WP Maps do wersji 4.7.2 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego wyłącznie do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić przegląd konfiguracji uprawnień użytkowników. Regularne przeglądanie i stosowanie poprawek bezpieczeństwa jest kluczowe.