CVE-2025-0521: podatność Stored XSS w wtyczce Post SMTP dla WordPress

Co wiadomo

Wtyczka Post SMTP dla WordPress do wersji 3.0.2 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametry 'from' i 'subject'. Brak odpowiedniej sanitizacji i escapingu danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań złośliwych wykonywanych w kontekście przeglądarki ofiary. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako poważne zagrożenie, które może wpłynąć na bezpieczeństwo i reputację serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Post SMTP u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję parametrów 'from' i 'subject', monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt bezpieczeństwa strony. Priorytetowo traktuj aktualizacje i zabezpieczenia wtyczek CMS.

Źródła

• NVD
• Reference
• Reference