CVE-2025-12717: Stored XSS w wtyczce List Attachments Shortcode dla WordPress

Co wiadomo

Wtyczka List Attachments Shortcode dla WordPress do wersji 0.4.1a jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'before_list' w shortcode [list-attachments]. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzenia zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami autora lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów witryny. Wpływa to na bezpieczeństwo i integralność witryny oraz może narazić firmę na utratę zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki List Attachments Shortcode do wersji nienarażonej na tę podatność, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularnie monitoruj komunikaty producenta wtyczki i stosuj dostępne poprawki.

Źródła

• NVD
• Reference
• Reference
• Reference