Luka XSS w wtyczce JetEngine dla WordPress (CVE-2025-0369)

Co wiadomo

Wtyczka JetEngine dla WordPress do wersji 3.6.2 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'list_tag'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki JetEngine i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych aktywności. Warto również przeprowadzić przegląd i oczyszczenie zawartości stron pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference