Luka XSS w wtyczce Trail Manager dla WordPress (CVE-2025-13682)

Co wiadomo

Wtyczka Trail Manager dla WordPress do wersji 1.0.0 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do przejęcia sesji, defacementu lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie to jest istotne dla właścicieli stron WordPress działających w trybie multisite lub z wyłączonym filtrem unfiltered_html.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Trail Manager i ich wdrożenie. W przypadku braku łatki warto ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć włączenie filtra unfiltered_html, aby zmniejszyć ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference