CVE-2025-10191: Stored Cross-Site Scripting w wtyczce Big Post Shipping dla WooCommerce

Co wiadomo

Wtyczka Big Post Shipping dla WooCommerce w wersjach do 2.1.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'wooboigpost_shipping_status'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających ze sklepu WooCommerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Big Post Shipping i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i wzmocnienie mechanizmów sanitacji danych wejściowych w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference