Analityczne wykorzystywanie plików cookies
CVE-2025-9111: luka w wtyczce AI ChatBot for WordPress (wpbot)
Wtyczka wpbot przed 7.1.0 umożliwia ataki Stored XSS przez administratorów, nawet gdy unfiltered_html jest wyłączone. Aktualizuj wtyczkę.
- CVSS
- 3.5 LOW
- EPSS
- 15.33%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wpbot
Co wiadomo
Wtyczka AI ChatBot for WordPress (wpbot) w wersjach przed 7.1.0 nie sanitizuje i nie ucieka niektórych ustawień, co może pozwolić użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone, np. w konfiguracji multisite.
Wpływ biznesowy
Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach WordPress multisite ryzyko jest szczególnie istotne, ponieważ luka działa mimo ograniczeń unfiltered_html. Operatorzy powinni traktować tę lukę jako niskiego ryzyka, ale nie ignorować jej w kontekście ogólnego bezpieczeństwa CMS.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki wpbot do wersji 7.1.0 lub nowszej udostępnionej przez producenta quantumcloud. W przypadku braku możliwości natychmiastowej aktualizacji warto ograniczyć dostęp do panelu administratora oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji uprawnień i polityk bezpieczeństwa multisite również jest wskazany.