CVE-2025-1405: podatność Stored XSS w wtyczce Product Catalog Simple dla WordPress

Co wiadomo

Wtyczka Product Catalog Simple dla WordPress do wersji 1.7.11 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode show_products, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, defacementu strony lub innych działań szkodliwych, co wpływa na reputację i bezpieczeństwo witryny. Atakujący z dostępem na poziomie współtwórcy mogą wykorzystać lukę do eskalacji ataku i wpływania na większą liczbę użytkowników. Operatorzy stron powinni traktować tę lukę jako istotne zagrożenie dla integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Product Catalog Simple u dostawcy i jej wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie reguł WAF blokujących podejrzane żądania. Regularne przeglądy i audyty bezpieczeństwa wtyczek CMS są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference