Analityczne wykorzystywanie plików cookies
Luka Stored XSS w wtyczce TablePress dla WordPress (CVE-2025-9500)
Wtyczka TablePress do WordPress ma lukę Stored XSS w parametrze 'shortcode_debug'. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 13.05%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka TablePress dla WordPress do wersji 3.2 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'shortcode_debug'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współtwórcy.
Wpływ biznesowy
Atakujący z dostępem na poziomie Współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzenia zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki TablePress i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji edycji dla użytkowników o niższych uprawnieniach, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Priorytetem jest minimalizacja ryzyka poprzez ograniczenie możliwości wstrzyknięcia złośliwego kodu.