WP-OAuth WordPress Plugin podatny na Reflected Cross-Site Scripting (CVE-2025-12021)

Co wiadomo

Wtyczka WP-OAuth dla WordPressa do wersji 0.4.1 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'error_description'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to dotyczy stron korzystających z podatnej wersji wtyczki WP-OAuth.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP-OAuth i jej instalację. W przypadku braku łatki, ogranicz ekspozycję podatnego parametru, monitoruj logi pod kątem podejrzanej aktywności oraz edukuj użytkowników o ryzyku kliknięcia nieznanych linków. Priorytetyzuj działania zabezpieczające w środowiskach produkcyjnych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference