CVE-2025-45960
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność Cross Site Scripting (XSS) w wtyczce Live Chat tawk.to w wersji 1.6.1 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary. Problem wynika z braku walidacji i kodowania danych wejściowych dostarczanych przez użytkownika, które są przechowywane i wyświetlane przez aplikację.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub wykraść poufne dane, co prowadzi do naruszenia bezpieczeństwa i utraty zaufania klientów.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę tawk.to Live Chat do najnowszej wersji, która zawiera poprawki zabezpieczające przed XSS. Dodatkowo wdrożyć filtrowanie i kodowanie danych wejściowych po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in tawk.to Live Chat v.1.6.1 allows a remote attacker to execute arbitrary code via the web application stores and displays user-supplied input without proper input validation or encoding