Analytical use of cookies
CVE-2025-5540: Уразливість збереженого XSS у плагіні Event RSVP та Simple Event Management для WordPress
Уразливість Stored XSS у плагіні Event RSVP для WordPress дозволяє авторизованим користувачам впроваджувати шкідливі скрипти. Рекомендовано оновлення та обмеження доступу.
- CVSS
- 6.4 MEDIUM
- EPSS
- 10.39%
- Активно використовується
- немає в KEV
- Продукт
- event rsvp and simple event management
Що відомо
Плагін Event RSVP та Simple Event Management для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'emd_mb_meta' у версіях до 4.1.0 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє авторизованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти.
Бізнес-вплив
Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що відкриває можливості для крадіжки сесій, фішингу або інших атак. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів. Особливо це критично для сайтів з кількома користувачами, де є контриб'ютори або вищі рівні доступу.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна від розробника emarketdesign і встановити їх при доступності. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та розглянути тимчасове відключення плагіна. Також варто провести аудит логів на предмет підозрілої активності та посилити моніторинг безпеки сайту.