Analityczne wykorzystywanie plików cookies
CVE-2025-5055: Stored XSS wtyczki Smart Forms dla WordPress
Luka Stored XSS w wtyczce Smart Forms do WordPress do wersji 2.6.98 dotyczy multisite i wyłączonego unfiltered_html. Sprawdź aktualizacje i zabezpiecz system.
- CVSS
- 4.4 MEDIUM
- EPSS
- 16.5%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Smart Forms dla WordPress do wersji 2.6.98 zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu. Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do przejęcia sesji, deface'u lub innych działań szkodliwych dla użytkowników i infrastruktury. Zagrożenie to wymaga uwagi zwłaszcza w środowiskach multisite WordPress, gdzie ryzyko rozprzestrzeniania się ataku jest większe.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Smart Forms u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp administratorów do minimum, weryfikuj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie wtyczki w środowiskach multisite. Priorytetowo traktuj audyt i monitorowanie instalacji WordPress pod kątem podobnych luk.