Analityczne wykorzystywanie plików cookies
MapSVG dla WordPress podatny na Stored Cross-Site Scripting (CVE-2025-9205)
Wtyczka MapSVG dla WordPress do 8.14.0 ma lukę Stored XSS umożliwiającą ataki przez użytkowników z uprawnieniami współpracownika i wyżej.
- CVSS
- 6.4 MEDIUM
- EPSS
- 8.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka MapSVG dla WordPress do wersji 8.14.0 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji i ucieczki danych wejściowych w opcjach mapy. Umożliwia to atakującym z uprawnieniami co najmniej współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzania zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko dla stron korzystających z MapSVG i odpowiednio zabezpieczyć środowisko.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MapSVG u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS.