Analityczne wykorzystywanie plików cookies
CVE-2025-9857: Luka XSS w wtyczce Heateor Login – Social Login dla WordPress
Wtyczka Heateor Login do WordPress ma lukę XSS pozwalającą na wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 12.11%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Heateor Login – Social Login dla WordPress do wersji 1.1.9 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'Heateor_Facebook_Login'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'Heateor_Facebook_Login' w witrynie.