Analityczne wykorzystywanie plików cookies
CVE-2025-12067: podatność Stored XSS w Table Field Add-on dla ACF i SCF w WordPress
Podatność Stored XSS w Table Field Add-on dla ACF i SCF w WordPress do wersji 1.3.30 pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami autora i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 5.52%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Table Field Add-on dla ACF i SCF w WordPress do wersji 1.3.30 zawiera podatność typu Stored Cross-Site Scripting (XSS) w treści komórek tabeli, wynikającą z niewystarczającej sanitacji i ucieczki danych. Atakujący z uprawnieniami co najmniej na poziomie autora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron.
Wpływ biznesowy
Podatność umożliwia atakującym z dostępem autoryzowanym na poziomie autora lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Table Field Add-on i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji edycji tabel do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych. Priorytetem jest szybka reakcja w celu minimalizacji ryzyka wykorzystania podatności.