WPBookit dla WordPress narażony na atak Stored Cross-Site Scripting (CVE-2025-12135)

Co wiadomo

Wtyczka WPBookit dla WordPress do wersji 1.0.6 włącznie posiada lukę Stored Cross-Site Scripting poprzez parametr 'css_code' z powodu braku weryfikacji uprawnień w funkcji save_custome_code(). Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach korzystających z WPBookit, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo podjąć działania naprawcze.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WPBookit i ich wdrożenie. W przypadku braku łatki, ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych aktywności oraz weryfikować uprawnienia użytkowników. Priorytetowo traktować audyt i zabezpieczenie funkcji odpowiedzialnych za zapisywanie kodu CSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference