CVE-2025-0169: podatność Stored Cross-Site Scripting w motywie WordPress dwt listing

Co wiadomo

Motyw WordPress dwt listing (wersje do 3.3.4 włącznie) jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y z powodu niewystarczającej sanitizacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Ta luka może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykraść sesje, manipulować zawartością strony lub przeprowadzać dalsze ataki na użytkowników. Operatorzy CMS powinni traktować tę podatność jako istotne ryzyko dla bezpieczeństwa witryn opartych na tym motywie.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji motywu dwt listing u dostawcy i ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do minimum, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń przed XSS. Priorytetyzuj działania naprawcze w oparciu o poziom ryzyka i ekspozycję witryny.

Źródła

• NVD
• Reference
• Reference