WP-Iconics WordPress Plugin podatny na Stored Cross-Site Scripting (CVE-2025-12671)

Co wiadomo

Wtyczka WP-Iconics dla WordPressa do wersji 0.0.4 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w wielu parametrach shortcode 'wp_iconics' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych ataków na użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych i użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP-Iconics i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularnie przeglądaj i audytuj uprawnienia użytkowników oraz stosuj zasady minimalnego dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference