CVE-2025-0627: podatność w wtyczce taxopress dla WordPress

Co wiadomo

Wtyczka WordPress Tag, Category, and Taxonomy Manager (taxopress) w wersjach przed 3.30.0 nie sanitizuje i nie zabezpiecza niektórych ustawień widgetów, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone (np. w konfiguracji multisite).

Wpływ biznesowy

Ta luka może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla użytkowników i infrastruktury. Choć ocena CVSS wskazuje na niskie ryzyko, organizacje korzystające z tej wtyczki powinny zwrócić uwagę na potencjalne zagrożenia związane z bezpieczeństwem aplikacji webowych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki taxopress do wersji 3.30.0 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeglądać konfigurację multisite i rozważyć zmniejszenie ekspozycji podatnych widgetów.

Źródła

• NVD
• Reference