CVE-2025-11745: podatność XSS w wtyczce Ad Inserter dla WordPress

Co wiadomo

Wtyczka Ad Inserter – Ad Manager & AdSense Ads dla WordPress do wersji 2.8.7 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'adinserter' z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów stron. Wpływa to na bezpieczeństwo witryn opartych na WordPress korzystających z tej wtyczki, zwiększając ryzyko naruszeń danych i utraty zaufania klientów.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić wersję wtyczki Ad Inserter i zaktualizować ją do najnowszej dostępnej wersji po wydaniu poprawki przez producenta. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference