Analityczne wykorzystywanie plików cookies
CVE-2025-4588: Wrażliwość Stored XSS w wtyczce 360 Photo Spheres dla WordPress
Wtyczka 360 Photo Spheres do WordPress ma podatność Stored XSS umożliwiającą ataki przez shortcode 'sphere'. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 8.03%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka 360 Photo Spheres dla WordPress do wersji 1.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'sphere'. Niewystarczająca sanitacja i eskalacja danych wejściowych umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Zagrożenie dotyczy właścicieli stron opartych na WordPress wykorzystujących tę wtyczkę, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami do edycji treści.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki 360 Photo Spheres i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i audyt uprawnień użytkowników jest kluczowa.