CVE-2025-12632: Stored Cross-Site Scripting w wtyczce RandomQuotr dla WordPress

Co wiadomo

Wtyczka RandomQuotr dla WordPress do wersji 1.0.4 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do przejęcia sesji, kradzieży danych lub dalszej eskalacji ataku. Zagrożenie to jest istotne dla operatorów środowisk WordPress multisite oraz tych, którzy wyłączyli domyślne zabezpieczenia HTML.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki RandomQuotr do wersji po 1.0.4, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia administratorów, weryfikować i filtrować dane wprowadzane w ustawieniach oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć ponowne włączenie filtru unfiltered_html, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference