CVE-2025-14378: Stored XSS w wtyczce Quick Testimonials dla WordPress

Co wiadomo

Wtyczka Quick Testimonials dla WordPress do wersji 2.1 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) w ustawieniach administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Operatorzy powinni zwrócić uwagę na możliwość eskalacji ataków wewnętrznych i potencjalne naruszenia bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się przejrzenie dostępnych aktualizacji wtyczki Quick Testimonials i ich szybkie zastosowanie. W przypadku braku łatki, ograniczenie dostępu administratorów oraz monitorowanie logów pod kątem podejrzanych działań jest wskazane. Dodatkowo warto rozważyć weryfikację konfiguracji multisite oraz ustawień unfiltered_html, aby zminimalizować ryzyko wykorzystania podatności.

Źródła

• NVD
• Reference
• Reference