CVE-2025-11185: Stored Cross-Site Scripting w wtyczce Complianz dla WordPress

Co wiadomo

Wtyczka Complianz – GDPR/CCPA Cookie Consent dla WordPress do wersji 7.4.3 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode cmplz-accept-link, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Luka umożliwia atakującym z dostępem na poziomie współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji naraża infrastrukturę na ryzyko ataków XSS, które mogą wpłynąć na bezpieczeństwo danych i zaufanie klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Complianz i jej instalację do najnowszej wersji po wydaniu poprawki. W międzyczasie ogranicz dostęp użytkowników do poziomu współpracownika i wyższego oraz monitoruj logi serwera pod kątem podejrzanych działań. Warto również przeprowadzić przegląd i ograniczyć możliwość wprowadzania danych przez użytkowników oraz stosować dodatkowe mechanizmy zabezpieczające przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference