CVE-2025-12658: Luka XSS w wtyczce Preload Current Images dla WordPress

Co wiadomo

Wtyczka Preload Current Images dla WordPress do wersji 1.3 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze 'complete' shortcode'u 'preload_progress_bar'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to wymaga uwagi administratorów stron WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Preload Current Images i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode'u 'preload_progress_bar'.

Źródła

• NVD
• Reference
• Reference
• Reference