CVE-2025-11875: podatność Stored XSS w wtyczce SpendeOnline.org dla WordPress

Co wiadomo

Wtyczka SpendeOnline.org dla WordPress do wersji 3.0.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'spendeonline'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę IT. Organizacje korzystające z tej wtyczki powinny potraktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SpendeOnline.org i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie poziom współtwórcy i wyżej. Warto również przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować strony pod kątem nieautoryzowanych zmian i wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference