CVE-2025-12885: Wtyczka Embed Any Document dla WordPress podatna na Stored XSS

Co wiadomo

Wtyczka Embed Any Document – Embed PDF, Word, PowerPoint i Excel Files dla WordPress do wersji 2.7.10 zawiera lukę Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji i ucieczki danych wejściowych w funkcji sanitize_pdf_src. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum niezbędnego oraz monitorować logi pod kątem podejrzanych aktywności. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference
• Reference