CVE-2025-12629: Reflected XSS w wtyczce Broken Link Manager dla WordPress

Co wiadomo

Wtyczka Broken Link Manager do WordPressa w wersjach do 0.6.5 nie sanitizuje i nie ucieka parametru przed wyświetleniem na stronie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność umożliwia atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika o wysokich uprawnieniach, co może skutkować przejęciem sesji, zmianą ustawień lub innymi działaniami na poziomie administratora. Może to prowadzić do poważnych naruszeń bezpieczeństwa i utraty kontroli nad stroną WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Broken Link Manager i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa CMS.

Źródła

• NVD
• Reference