CVE-2025-12109: Wrażliwość Stored XSS w wtyczce Header Footer Script Adder dla WordPress

Co wiadomo

Wtyczka Header Footer Script Adder – Insert Code in Header, Body & Footer dla WordPress do wersji 2.0.5 zawiera lukę Stored Cross-Site Scripting (XSS) umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów do stron. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych.

Wpływ biznesowy

Atakujący z poziomem Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach CMS opartych na WordPressie, gdzie ta wtyczka jest używana, istnieje ryzyko naruszenia integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji eliminującej lukę. W międzyczasie ogranicz dostęp do edycji treści użytkownikom z uprawnieniami Contributor i wyższymi oraz monitoruj logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference