Analityczne wykorzystywanie plików cookies
CVE-2025-5490: podatność Stored Cross-Site Scripting w wtyczce Football Pool dla WordPress
Wtyczka Football Pool do WordPress ma podatność Stored XSS do wersji 2.12.4, umożliwiającą ataki przez administratorów w instalacjach multisite.
- CVSS
- 5.5 MEDIUM
- EPSS
- 11.83%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- football pool
Co wiadomo
Wtyczka Football Pool dla WordPress do wersji 2.12.4 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, przejęciem konta administratora lub innymi atakami na użytkowników i infrastrukturę. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji uprawnień i naruszenia integralności danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Football Pool u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz zweryfikować konfigurację multisite i ustawienia unfiltered_html. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.