Analityczne wykorzystywanie plików cookies
CVE-2025-6815: Wrażliwość Stored XSS w wtyczce LatePoint dla WordPress
Wtyczka LatePoint do WordPress ma lukę Stored XSS w parametrze 'service[name]', zagrażającą multisite i instalacjom bez unfiltered_html.
- CVSS
- 5.5 MEDIUM
- EPSS
- 15.2%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress do wersji 5.1.94 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'service[name]'. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron, co może prowadzić do przejęcia sesji, defacementu lub innych działań szkodliwych dla użytkowników i reputacji firmy. Luka dotyczy specyficznych konfiguracji WordPress, co ogranicza jej zasięg, jednak nadal stanowi istotne zagrożenie dla środowisk multisite i z wyłączonym filtrem unfiltered_html.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LatePoint u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora, zweryfikować konfigurację multisite oraz ustawienia filtrowania HTML. Dodatkowo warto monitorować logi pod kątem podejrzanych działań i przygotować plan reagowania na incydenty.