CVE-2025-10053: Stored Cross-Site Scripting w wtyczce TableGen dla WordPress

Co wiadomo

Wtyczka TableGen – Data Table Generator dla WordPress do wersji 1.3.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atak ten dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Podatność pozwala uwierzytelnionym użytkownikom z uprawnieniami administratora na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji, manipulacji danymi lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Wpływa to na bezpieczeństwo środowisk multisite oraz instalacji z restrykcyjnymi ustawieniami HTML.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki TableGen i rozważyć aktualizację do najnowszej dostępnej wersji pochodzącej od dostawcy. W przypadku braku aktualizacji należy ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone. Zaleca się także przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wprowadzania i wyświetlania danych w panelu administracyjnym.

Źródła

• NVD
• Reference
• Reference