CVE-2025-12590: Luka CSRF prowadząca do trwałego XSS w wtyczce YSlider dla WordPress

Co wiadomo

Wtyczka YSlider dla WordPress w wersjach do 1.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) umożliwiający trwałe Cross-Site Scripting (XSS). Brak weryfikacji nonce oraz niewystarczające oczyszczanie danych pozwalają nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji administratora, defacementu strony lub dystrybucji złośliwego oprogramowania poprzez wstrzyknięte skrypty. Może to negatywnie wpłynąć na reputację firmy, zaufanie użytkowników oraz bezpieczeństwo danych. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki YSlider i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do strony konfiguracyjnej wtyczki, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, aby nie klikali podejrzanych linków. Warto również przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference