CVE-2025-12033: Stored XSS w wtyczce Simple Banner dla WordPress

Co wiadomo

Wtyczka Simple Banner do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'pro_version_activation_code' w wersjach do 3.0.10 włącznie. Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala administratorom na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście strony, co może prowadzić do naruszenia integralności witryny i potencjalnego przejęcia sesji użytkowników. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym unfiltered_html, co wymaga szczególnej uwagi operatorów tych instalacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Simple Banner i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć weryfikację konfiguracji multisite oraz ustawień unfiltered_html, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference