CVE-2025-12118: Stored Cross-Site Scripting w wtyczce Schema Scalpel dla WordPress

Co wiadomo

Wtyczka Schema Scalpel dla WordPress do wersji 1.6.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez tytuł wpisu, wynikający z niewystarczającej sanitacji i ucieczki danych użytkownika w JSON-LD. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Współpracownika i wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników odwiedzających zainfekowane strony. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Schema Scalpel u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz dostęp do poziomu Współpracownika tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference