WP ViewSTL dla WordPress podatny na trwały Cross-Site Scripting (CVE-2025-10135)

Co wiadomo

Wtyczka WP ViewSTL dla WordPress do wersji 1.0 włącznie zawiera lukę typu Stored Cross-Site Scripting w shortcode 'viewstl', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka ta pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub manipulacji zawartością strony. Operatorzy stron opartych na WordPress z zainstalowaną tą wtyczką powinni rozważyć ryzyko związane z dostępem użytkowników o podwyższonych uprawnieniach oraz potencjalne szkody dla reputacji i bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP ViewSTL u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Priorytetem jest eliminacja możliwości wstrzyknięcia i wykonania złośliwego kodu.

Źródła

• NVD
• Reference
• Reference