CVE-2025-0329: luka XSS w wtyczce wpbot dla WordPress

Co wiadomo

Wtyczka AI ChatBot dla WordPress (wpbot) w wersjach przed 6.2.4 nieprawidłowo oczyszcza i zabezpiecza niektóre ustawienia, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona (np. w konfiguracji multisite).

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, ryzyko pozostaje istotne, co wymaga uwagi zespołów IT i administratorów.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki wpbot do wersji 6.2.4 lub nowszej udostępnionej przez producenta quantumcloud. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i polityk bezpieczeństwa również jest wskazany, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference