Analityczne wykorzystywanie plików cookies
CVE-2025-4594: podatność Stored Cross-Site Scripting w wtyczce Tournamatch dla WordPress
Podatność Stored XSS w wtyczce Tournamatch do WordPress umożliwia ataki przez shortcode. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 13.98%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- tournamatch
Co wiadomo
Wtyczka Tournamatch dla WordPress do wersji 4.6.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'trn-ladder-registration-button'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkowników.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tournamatch i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli jest to możliwe.