Analityczne wykorzystywanie plików cookies
CVE-2025-9499: Stored XSS w wtyczce Ocean Extra dla WordPress
Luka Stored XSS w wtyczce Ocean Extra dla WordPress do wersji 2.4.9 umożliwia atakującym wstrzyknięcie złośliwych skryptów. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 14.13%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Ocean Extra dla WordPress do wersji 2.4.9 zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode oceanwp_library, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych ataków na użytkowników serwisu. Operatorzy stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności witryny oraz danych użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ocean Extra i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode oceanwp_library. Priorytetem jest szybka reakcja w celu ograniczenia ryzyka wykorzystania luki.