CVE-2025-13678: podatność Stored XSS w wtyczce Thai Lottery Widget dla WordPress

Co wiadomo

Wtyczka Thai Lottery Widget dla WordPress do wersji 2.5 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'thailottery'. Luka wynika z niewystarczającej sanitacji i escapingu atrybutów 'width' i 'height', co pozwala użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami Contributor i wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki Thai Lottery Widget i rozważyć aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników oraz monitorowanie logów pod kątem podejrzanej aktywności. Warto także rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference