CVE-2025-12631: Stored Cross-Site Scripting w wtyczce Squirrels Auto Inventory dla WordPress

Co wiadomo

Wtyczka Squirrels Auto Inventory do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) w wersjach do 1.0.3 włącznie, z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atak może zostać przeprowadzony przez uwierzytelnionych administratorów w instalacjach multisite lub tam, gdzie wyłączono unfiltered_html.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i integralności witryny. Zagrożenie dotyczy głównie instalacji multisite oraz środowisk z wyłączoną opcją unfiltered_html.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki do wersji po 1.0.3, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia administratorów, przeglądać logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite. Dodatkowo warto zweryfikować ustawienia sanitacji i filtrowania danych w panelu administracyjnym.

Źródła

• NVD
• Reference
• Reference