CVE-2025-12122: Stored XSS w wtyczce Popup Box dla WordPress

Co wiadomo

Wtyczka Popup Box – Easily Create WordPress Popups do wersji 3.2.12 jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez shortcode 'iframeBox'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych ataków na użytkowników odwiedzających zainfekowane strony. Operatorzy stron WordPress powinni traktować tę lukę poważnie, gdyż może ona narazić ich użytkowników na ryzyko oraz wpłynąć na reputację serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Popup Box i jej instalację, jeśli jest dostępna. W przypadku braku łatki, ograniczenie uprawnień użytkowników do niezbędnego minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian jest wskazane. Warto także rozważyć tymczasowe wyłączenie shortcode 'iframeBox' do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference