CVE-2025-6975: podatność Reflected Cross-Site Scripting w wtyczce Events Manager dla WordPress

Co wiadomo

Wtyczka Events Manager – Calendar, Bookings, Tickets, and more! dla WordPress do wersji 7.0.3 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'calendar_header'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Events Manager i jej instalację, jeśli jest dostępna. W przypadku braku łatki, ogranicz ekspozycję podatnego parametru, monitoruj logi pod kątem podejrzanej aktywności oraz edukuj użytkowników, aby nie klikali w podejrzane linki. Priorytetyzuj działania naprawcze zgodnie z ryzykiem biznesowym.

Źródła

• NVD
• Reference
• Reference
• Reference