Analityczne wykorzystywanie plików cookies
CVE-2025-5939: Stored Cross-Site Scripting w wtyczce Telegram for WP dla WordPress
Luka Stored XSS w wtyczce Telegram for WP do WordPress umożliwia ataki w instalacjach multisite i z wyłączonym unfiltered_html. Zalecane aktualizacje i monitorowanie.
- CVSS
- 4.4 MEDIUM
- EPSS
- 10.02%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Telegram for WP dla WordPress do wersji 1.6.1 zawiera lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do przejęcia sesji lub innych działań na koncie użytkownika. Zagrożenie to wpływa na bezpieczeństwo i integralność witryn WordPress działających w środowiskach multisite lub z wyłączoną opcją unfiltered_html.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Telegram for WP i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone.