CVE-2025-13854: Stored XSS w wtyczce Curved Text dla WordPress

Co wiadomo

Wtyczka Curved Text dla WordPress do wersji 0.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'radius' shortcode arctext. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defacementu strony lub innych ataków skierowanych do odwiedzających. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Curved Text i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa stron korzystających z tej wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference