Luka Stored XSS w wtyczce Simple User Registration dla WordPress (CVE-2025-12160)

Co wiadomo

Wtyczka Simple User Registration dla WordPress do wersji 6.6 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) poprzez parametr 'wpr_admin_msg'. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów wykonywanych przy dostępie do zainfekowanej strony.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i administratorów serwisu. Właściciele stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa i integralności swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Simple User Registration i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wykorzystujących parametr 'wpr_admin_msg', monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo należy ocenić ryzyko i wdrożyć środki zapobiegawcze minimalizujące ekspozycję na ataki XSS.

Źródła

• NVD
• Reference
• Reference