CVE-2025-10636: NS Maintenance Mode dla WP WordPress umożliwia ataki Stored XSS

Co wiadomo

Wtyczka NS Maintenance Mode dla WP WordPress w wersjach do 1.3.1 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż atakujący może wykorzystać lukę mimo ograniczeń uprawnień. Operatorzy powinni zwrócić uwagę na potencjalne wektory ataku i ryzyko eskalacji w swoich instalacjach WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki NS Maintenance Mode i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto rozważyć tymczasowe wyłączenie wtyczki w środowiskach o podwyższonym ryzyku oraz stosować zasady minimalizacji uprawnień.

Źródła

• NVD
• Reference