CVE-2025-12580: Reflected Cross-Site Scripting w wtyczce SMS for WordPress

Co wiadomo

Wtyczka SMS for WordPress do wersji 1.1.8 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'paged'. Brak odpowiedniej sanitacji i ucieczki danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które mogą zostać wykonane po nakłonieniu użytkownika do kliknięcia w specjalnie spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji użytkownika, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary. Operatorzy stron wykorzystujących tę wtyczkę powinni być świadomi ryzyka utraty zaufania użytkowników oraz potencjalnych szkód wizerunkowych i operacyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników o ryzyku kliknięcia w nieznane linki. Priorytetem jest szybka reakcja i minimalizacja ryzyka wykorzystania podatności.

Źródła

• NVD
• Reference
• Reference
• Reference