CVE-2025-1410: podatność Stored XSS w wtyczce Pie Calendar dla WordPress

Co wiadomo

Wtyczka Events Calendar Made Simple – Pie Calendar dla WordPress do wersji 1.2.5 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode piecal. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkowników.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzenia zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode piecal, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference