Er is een kritiek probleem ontdekt in de WordPress-plugin 360 Photo Spheres, tot en met versie 1.3. De kwetsbaarheid, aangeduid als CVE-2025-4588, maakt het mogelijk voor geauthenticeerde aanvallers met minimaal contributor-rechten om via onvoldoende gesaneerde invoer en outputescapingen kwaadaardige scripts te injecteren. Dit kan leiden tot de onbedoelde uitvoering van scripts op door gebruikers bezochte pagina’s.
Overzicht
De kwetsbaarheid heeft te maken met Stored Cross-Site Scripting (XSS) en is mogelijk vanwege zwakke invoerbeveiliging in de plugin’s ‘sphere’ shortcode-attributen. De impact van deze kwetsbaarheid is dat een aanvaller zonder medeweten van de sitebeheerder of gebruikers scripts kan uitvoeren die toegang tot gevoelige gegevens of sessietokens kunnen verschaffen.
Aanbevelingen
- Werk de plugin 360 Photo Spheres bij naar een versie hoger dan 1.3 zodra een beveiligingsupdate beschikbaar is.
- Overweeg het uitschakelen van de plugin totdat er een patch beschikbaar is.
- Controleer de site logs op ongebruikelijke activiteiten, vooral van gebruikers met contributor-rechten.
Bronnen
Vraag en Antwoord
1. Wat is CVE-2025-4588?
CVE-2025-4588 is een opgeslagen Cross-Site Scripting-kwetsbaarheid ontdekt in de 360 Photo Spheres-plugin voor WordPress, waarbij onvoldoende invoercontroles een aanvaller met contributor-rechten in staat stellen om kwaadaardige scripts te injecteren.
2. Welke systemen zijn kwetsbaar voor CVE-2025-4588?
Systemen die WordPress draaien met de 360 Photo Spheres-plugin version tot en met 1.3 zijn kwetsbaar.
3. Bestaat er al een patch of beveiligingsupdate?
Er is momenteel geen beveiligingsupdate uitgebracht. Controleer regelmatig de updates van de plugin-ontwikkelaar.
4. Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan scripts injecteren die worden uitgevoerd wanneer een gebruiker een gecompromitteerde pagina bezoekt, met mogelijke gevolgen zoals datadiefstal of sessieovername.
Zorg ervoor dat uw systemen vandaag nog zijn bijgewerkt en beveiligd tegen deze potentiële dreiging.
