CVE-2025-0820: Stored Cross-Site Scripting w wtyczce Clicface Trombi dla WordPress

Co wiadomo

Wtyczka Clicface Trombi dla WordPress do wersji 2.08 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'nom'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia osobom z dostępem na poziomie Współpracownika lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Może to wpłynąć na bezpieczeństwo danych oraz zaufanie klientów korzystających z serwisu WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Clicface Trombi u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference