CVE-2025-12448: podatność Stored XSS w wtyczce Smartsupp dla WordPress

Co wiadomo

Wtyczka Smartsupp dla WordPress do czatu na żywo i asystenta zakupowego jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'code' w wersjach do 3.9.1 włącznie. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wstrzykiwanie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach WordPress wykorzystujących tę wtyczkę istnieje ryzyko naruszenia integralności i bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Smartsupp i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto także przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference