Luka XSS w wtyczce RTMKit dla WordPress (CVE-2025-12473)

Co wiadomo

Wtyczka RTMKit dla WordPress do wersji 1.6.8 jest podatna na atak typu Reflected Cross-Site Scripting (XSS) poprzez parametr 'themebuilder'. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wykonania złośliwych skryptów w kontekście przeglądarki administratora strony, co może prowadzić do przejęcia sesji, zmiany ustawień lub innych działań na stronie. Może to skutkować naruszeniem integralności i bezpieczeństwa witryny oraz utratą zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki RTMKit i jej instalację. W przypadku braku łatki, ogranicz dostęp do panelu administratora, monitoruj logi pod kątem podejrzanych aktywności oraz edukuj administratorów, aby nie klikali w podejrzane linki. Priorytetyzuj działania zabezpieczające i rozważ wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference