CVE-2025-12016: Stored Cross-Site Scripting w wtyczce qnotsquiz dla WordPress

Co wiadomo

Wtyczka qnotsquiz dla WordPress do wersji 1.0.0 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze 'qnotsquiz_custom_start_text'. Luka umożliwia administratorom wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanych stron, dotyczy instalacji multisite oraz tam, gdzie wyłączono unfiltered_html.

Wpływ biznesowy

Luka pozwala administratorom na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych ataków XSS. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym unfiltered_html, co wymaga szczególnej uwagi operatorów tych instalacji.

Rekomendowane działania administratora

Zaleca się przejrzenie i aktualizację wtyczki qnotsquiz do najnowszej dostępnej wersji po jej wydaniu przez producenta. W międzyczasie warto ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference