CVE-2025-10490: Stored Cross-Site Scripting w wtyczce Zephyr Project Manager dla WordPress

Co wiadomo

Wtyczka Zephyr Project Manager dla WordPress do wersji 3.3.202 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atak ten dotyczy instalacji multisite oraz tych, gdzie wyłączono opcję unfiltered_html.

Wpływ biznesowy

Podatność pozwala uwierzytelnionym użytkownikom z uprawnieniami administratora na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie jest istotne w środowiskach multisite oraz tam, gdzie ograniczono filtrowanie HTML.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Zephyr Project Manager i ich wdrożenie. W przypadku braku łatki warto ograniczyć dostęp administratorów, zweryfikować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite. Dodatkowo, należy monitorować i ograniczać możliwość wprowadzania nieprzefiltrowanego HTML przez użytkowników z wysokimi uprawnieniami.

Źródła

• NVD
• Reference
• Reference