Analityczne wykorzystywanie plików cookies
CVE-2025-6236: luka XSS w wtyczce Hostel dla WordPress
Wtyczka Hostel WordPress przed 1.1.5.9 umożliwia ataki Stored XSS przez administratorów. Zalecana aktualizacja i monitorowanie bezpieczeństwa.
- CVSS
- 4.8 MEDIUM
- EPSS
- 11.65%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- hostel
Co wiadomo
Wtyczka Hostel dla WordPress w wersjach przed 1.1.5.9 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub dalszych ataków na użytkowników serwisu. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, luka nadal pozostaje aktywna, zwiększając ryzyko nadużyć i potencjalnych szkód dla reputacji oraz bezpieczeństwa danych.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki Hostel do wersji 1.1.5.9 lub nowszej udostępnionej przez kibokolabs. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych aktywności. Przegląd konfiguracji multisite i weryfikacja polityk bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.