CVE-2025-10141: Wrażliwość Stored XSS w wtyczce Digiseller dla WordPress

Co wiadomo

Wtyczka Digiseller dla WordPress do wersji 1.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'ds'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Digiseller i jej instalację. W międzyczasie ogranicz dostęp do funkcji edycji dla użytkowników o uprawnieniach współtwórcy i wyższych oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj strony pod kątem obecności nieautoryzowanych skryptów i rozważ zastosowanie mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference