CVE-2025-14042: Wrażliwość Stored XSS w motywie Automotive Car Dealership Business WordPress

Co wiadomo

Motyw Automotive Car Dealership Business dla WordPress do wersji 13.4.1 jest podatny na atak typu Stored Cross-Site Scripting (XSS) poprzez pole niestandardowe 'Project Details' w elementach Portfolio. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron i operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza jeśli korzystają z tego motywu w środowiskach produkcyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do edycji elementów Portfolio do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeprowadź przegląd i oczyszczenie istniejących danych w polu 'Project Details' oraz rozważ wdrożenie dodatkowych mechanizmów filtrowania i walidacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference