CVE-2025-14313: Reflected Cross-Site Scripting w wtyczce Advance WP Query Search Filter dla WordPress

Co wiadomo

Wtyczka Advance WP Query Search Filter do WordPress w wersjach do 1.0.10 nie sanitizuje i nie ucieka parametrów przed ich wyświetleniem, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność XSS może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratorów, co może prowadzić do przejęcia kontroli nad panelem zarządzania WordPress lub kradzieży danych uwierzytelniających. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli wtyczka jest używana przez użytkowników z uprawnieniami administracyjnymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Advance WP Query Search Filter i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd zabezpieczeń i edukację użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference