CVE-2025-14053: Stored XSS w wtyczce Wish To Go dla WordPress

Co wiadomo

Wtyczka Wish To Go dla WordPress do wersji 0.5.2 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybuty shortcode. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli stron. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Wish To Go i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto także przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku.

Źródła

• NVD
• Reference
• Reference
• Reference