CVE-2025-12836: Luka Stored Cross-Site Scripting w wtyczce VK Google Job Posting Manager dla WordPress

Co wiadomo

Wtyczka VK Google Job Posting Manager dla WordPress w wersjach do 1.2.23 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez pole Opis stanowiska. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala atakującym z uprawnieniami autora lub wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy przede wszystkim serwisów korzystających z podatnej wersji wtyczki, co wymaga szybkiej reakcji ze strony administratorów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki VK Google Job Posting Manager i jej instalację, jeśli jest dostępna. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji umożliwiających wprowadzanie opisów stanowisk. Regularne przeglądy bezpieczeństwa i edukacja użytkowników również pomogą ograniczyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference