CVE-2025-0613: podatność XSS w wtyczce Photo Gallery 10Web dla WordPress

Co wiadomo

Wtyczka Photo Gallery firmy 10Web dla WordPress w wersjach przed 1.8.34 nie sanitizuje i nie zabezpiecza komentarzy dodawanych do zdjęć przez niezalogowanych użytkowników, co umożliwia przeprowadzenie ataku typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atak XSS może pozwolić atakującym na wykonanie złośliwego kodu w przeglądarce użytkowników odwiedzających stronę z komentarzami, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Photo Gallery od 10Web i jej instalację do wersji 1.8.34 lub nowszej. W przypadku braku możliwości aktualizacji, należy ograniczyć możliwość dodawania komentarzy przez niezalogowanych użytkowników oraz monitorować logi pod kątem podejrzanych aktywności. Warto również przeprowadzić przegląd zabezpieczeń i wprowadzić dodatkowe mechanizmy filtrowania i sanityzacji danych wejściowych.

Źródła

• NVD
• Reference