Luka XSS w wtyczce Download Manager dla WordPress (CVE-2025-10146)

Co wiadomo

Wtyczka Download Manager dla WordPress do wersji 3.3.23 zawiera podatność typu Reflected Cross-Site Scripting (XSS) w parametrze 'user_ids' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący może nakłonić użytkownika do kliknięcia specjalnie spreparowanego linku, co skutkuje wykonaniem złośliwego skryptu w przeglądarce ofiary.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji, przejęcia konta lub innych działań wykonywanych w kontekście użytkownika WordPress. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, gdyż umożliwia ona ataki skierowane do odwiedzających witrynę, co może narazić reputację i bezpieczeństwo serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Download Manager do wersji nienarażonej na tę podatność. Jeśli aktualizacja nie jest możliwa, należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie mechanizmów ochrony przed XSS, takich jak Web Application Firewall. Regularne przeglądy i testy bezpieczeństwa są wskazane.

Źródła

• NVD
• Reference
• Reference