CVE-2025-10180: Markdown Shortcode dla WordPress podatny na trwały XSS

Co wiadomo

Wtyczka Markdown Shortcode dla WordPress do wersji 0.2.1 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez shortcode 'markdown' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy każdym otwarciu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, defraudacji danych lub innych ataków na użytkowników odwiedzających zainfekowane strony. Może to wpłynąć na reputację firmy i bezpieczeństwo danych klientów korzystających z serwisu WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Markdown Shortcode i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i monitoringu ruchu. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference