CVE-2025-13311: Stored Cross-Site Scripting w wtyczce Just Highlight dla WordPress

Co wiadomo

Wtyczka Just Highlight dla WordPress do wersji 1.0.3 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez ustawienie 'Highlight Color'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu danych wyjściowych.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania strony ustawień wtyczki. Może to prowadzić do przejęcia sesji, manipulacji ustawieniami lub innych działań szkodliwych dla bezpieczeństwa systemu i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy. W międzyczasie ograniczenie dostępu do panelu administracyjnego tylko do zaufanych użytkowników, monitorowanie logów pod kątem podejrzanych działań oraz przegląd i audyt uprawnień administratorów. Priorytetowo traktować wdrożenie poprawek zabezpieczeń.

Źródła

• NVD
• Reference
• Reference
• Reference