CVE-2025-1261: podatność DOM-Based Stored XSS w wtyczce HT Mega dla WordPress

Co wiadomo

Wtyczka HT Mega – Absolute Addons For Elementor do WordPressa jest podatna na DOM-Based Stored Cross-Site Scripting (XSS) w widżecie Countdown we wszystkich wersjach do 2.8.2 włącznie. Luka wynika z niewystarczającej sanitacji i eskapowania danych wejściowych, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i reputacji firmy. Atak wymaga jednak posiadania uprawnień na poziomie współtwórcy lub wyższym, co ogranicza ryzyko do środowisk z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki HT Mega u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widżetu Countdown, jeśli jest to możliwe. Należy również zweryfikować, czy środowisko nie jest już wykorzystane do ataków XSS.

Źródła

• NVD
• Reference
• Reference