WPGancio WordPress Plugin podatny na Stored Cross-Site Scripting (CVE-2025-13904)

Co wiadomo

Wtyczka WPGancio dla WordPressa do wersji 1.12 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'gancio-event' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współautora lub wyższymi wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i administratorów. Może to obniżyć zaufanie do serwisu oraz narazić na ryzyko dane i infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPGancio i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'gancio-event'. Warto również przeprowadzić przegląd zabezpieczeń i edukację użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference
• Reference