Luka Stored XSS w wtyczce Pagerank Tools dla WordPress (CVE-2025-12416)

Co wiadomo

Wtyczka Pagerank Tools dla WordPress do wersji 1.1.5 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce i niewystarczającej sanitacji danych wejściowych. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się na stronie ustawień wtyczki, gdy administrator ją odwiedzi.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu w kontekście przeglądarki administratora WordPress, co może prowadzić do przejęcia kontroli nad witryną lub eskalacji uprawnień. Właściciele stron powinni traktować tę lukę poważnie, ponieważ atak wymaga jedynie nakłonienia administratora do kliknięcia w spreparowany link.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Pagerank Tools do wersji nienarażonej na tę lukę, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do strony ustawień wtyczki, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów o ryzyku kliknięcia w nieznane linki. Regularne przeglądy i audyty bezpieczeństwa wtyczek są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference