CVE-2025-14113: Wtyczka Viitor Button Shortcodes dla WordPress podatna na Stored XSS

Co wiadomo

Wtyczka Viitor Button Shortcodes do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'link' shortcode, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor. Luka dotyczy wszystkich wersji do 3.0.0 włącznie, wynikając z niewystarczającej sanitizacji i escapowania danych wejściowych.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach WordPress z wieloma użytkownikami taka luka zwiększa ryzyko eskalacji ataków wewnętrznych.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Viitor Button Shortcodes i ich niezwłoczne zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku związanym z uprawnieniami Contributor i wyższymi.

Źródła

• NVD
• Reference
• Reference
• Reference