CVE-2025-12644: Stored Cross-Site Scripting w wtyczce Nonaki dla WordPress

Co wiadomo

Wtyczka Nonaki – Drag and Drop Email Template builder i Newsletter dla WordPress do wersji 1.0.11 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'nonaki'. Luka wynika z niewystarczającej sanitacji i escapingu danych wprowadzanych przez użytkowników, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym dostępie do zainfekowanej strony. Może to prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Nonaki i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, zweryfikować i oczyścić pola niestandardowe pod kątem złośliwych skryptów oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference