CVE-2025-1437: luka Stored Cross-Site Scripting w wtyczce Advanced iFrame dla WordPress

Co wiadomo

Wtyczka Advanced iFrame dla WordPress zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode 'advanced_iframe' we wszystkich wersjach do 2025.2 włącznie, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta może prowadzić do wykonania nieautoryzowanego kodu JavaScript w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji zawartością strony lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako istotne ryzyko, zwłaszcza jeśli wtyczka jest aktywna i dostępna dla użytkowników z uprawnieniami edycyjnymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Advanced iFrame i aktualizację do wersji 2025.3 lub nowszej, gdzie luka została załatana. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wprowadzania i wyświetlania treści użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference