CVE-2025-12650: Stored Cross-Site Scripting w wtyczce Simple post listing dla WordPress

Co wiadomo

Wtyczka Simple post listing dla WordPress jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'class_name' w shortcode postlist we wszystkich wersjach do 0.2 włącznie. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas interakcji użytkownika z zainfekowaną stroną. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz wdrożenie najnowszych poprawek. W międzyczasie ogranicz dostęp do funkcji edycji dla użytkowników z uprawnieniami współtwórcy i wyższymi, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference