CVE-2025-12965: Stored Cross-Site Scripting w wtyczce Magical Posts Display dla WordPress

Co wiadomo

Wtyczka Magical Posts Display dla WordPress do wersji 1.2.54 zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze 'mpac_title_tag' widgetu Magical Posts Accordion. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala atakującym z uprawnieniami autora na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z poziomem dostępu autora lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży sesji, deface'u strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to wymaga uwagi administratorów stron opartych na WordPress z zainstalowaną tą wtyczką.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Magical Posts Display i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż autor oraz monitorować logi pod kątem podejrzanych działań. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS oraz przeprowadzić audyt bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference