CVE-2025-10295: Stored Cross-Site Scripting w motywie Angel – Fashion Model Agency WordPress

Co wiadomo

Motyw Angel – Fashion Model Agency dla WordPress do wersji 3.2.3 jest podatny na atak typu Stored Cross-Site Scripting (XSS) w uploaderze mediów profilu z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zmodyfikowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z niskim poziomem uprawnień wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych użytkowników.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować dostępność aktualizacji motywu Angel do wersji po 3.2.3 i niezwłocznie ją zastosować. W przypadku braku łatki zaleca się ograniczenie dostępu do formularza edycji profilu z możliwością przesyłania mediów oraz monitorowanie logów pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników i edukować ich w zakresie bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference