CVE-2025-0554: podatność Podlove Podcast Publisher na Stored XSS

Co wiadomo

Wtyczka Podlove Podcast Publisher dla WordPress w wersjach do 4.1.25 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez wartość nazwy kanału (Feed Name). Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać skrypty, które wykonają się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych sesji lub innych działań szkodliwych dla użytkowników i administratorów. Wpływa to na bezpieczeństwo i integralność środowiska WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Podlove Podcast Publisher i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanych działań. Warto również zweryfikować konfigurację multisite i ustawienia unfiltered_html, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference