CVE-2025-12710: Stored XSS w wtyczce Pet-Manager – Petfinder dla WordPress

Co wiadomo

Wtyczka Pet-Manager – Petfinder dla WordPress do wersji 3.6.1 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode kwm-petfinder. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, zwłaszcza jeśli dostęp do panelu mają użytkownicy z uprawnieniami Contributor lub wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Pet-Manager – Petfinder i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode kwm-petfinder. Regularne przeglądy i audyty bezpieczeństwa wtyczek WordPress są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference