Luka XSS w wtyczce Flickr Show dla WordPress (CVE-2025-12672)

Co wiadomo

Wtyczka Flickr Show dla WordPress jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'div_height' w shortcode 'flickrshow' we wszystkich wersjach do 1.5 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie Współpracownika na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji może zwiększać ryzyko naruszeń bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Flickr Show i ich niezwłoczne zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i audyty bezpieczeństwa pomogą w minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference