CVE-2025-12709: Stored Cross-Site Scripting w wtyczce Interactions dla WordPress

Co wiadomo

Wtyczka Interactions – Create Interactive Experiences w edytorze bloków WordPress do wersji 1.3.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez selektory zdarzeń z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, który może zostać wykonany przez innych użytkowników odwiedzających stronę. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Interactions i jej instalację, jeśli jest dostępna nowsza wersja. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie poziomu współtwórcy i wyżej. Dodatkowo warto przejrzeć logi serwera pod kątem podejrzanych działań oraz monitorować strony pod kątem nieautoryzowanych zmian i wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference