WP Carticon do WordPressa podatny na Stored Cross-Site Scripting (CVE-2025-12065)

Co wiadomo

Wtyczka WP Carticon dla WordPressa w wersjach do 1.0.0 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'carticon_js_script' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Atak wymaga uprawnień administratora i dotyczy instalacji multisite oraz tych z wyłączoną opcją unfiltered_html.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów, które wykonają się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Zagrożenie dotyczy głównie środowisk multisite i konfiguracji z wyłączonym unfiltered_html.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Carticon i ich wdrożenie. W przypadku braku łatki, ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone. Priorytetowo traktować audyt i zabezpieczenie instalacji WordPressa.

Źródła

• NVD
• Reference
• Reference