Analityczne wykorzystywanie plików cookies
CVE-2025-11241: Stored Cross-Site Scripting w wtyczce Yoast SEO Premium dla WordPress
Luka XSS w Yoast SEO Premium (wersje 25.7-25.9) pozwala na wstrzyknięcie złośliwego JavaScript przez użytkowników Contributor i wyższych.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.59%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Yoast SEO Premium dla WordPress w wersjach 25.7 do 25.9 zawiera lukę typu Stored Cross-Site Scripting (XSS) wynikającą z błędnego wyrażenia regularnego usuwającego atrybuty w treści postów. Luka pozwala użytkownikom z uprawnieniami Contributor lub wyższymi na wstrzyknięcie złośliwego kodu JavaScript do postów.
Wpływ biznesowy
Atakujący z dostępem Contributor lub wyższym mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript w treści postów, co może prowadzić do przejęcia sesji użytkowników, manipulacji zawartością strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków XSS i ich wpływ na użytkowników oraz integralność danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Yoast SEO Premium i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS. Priorytetem jest szybka weryfikacja i wdrożenie poprawek od producenta.