CVE-2025-14453: Stored Cross-Site Scripting w wtyczce My Album Gallery dla WordPress

Co wiadomo

Wtyczka My Album Gallery dla WordPress do wersji 1.0.4 zawiera podatność typu Stored Cross-Site Scripting (XSS) poprzez atrybut shortcode 'style_css'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Współpracownika i wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki My Album Gallery i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować strony pod kątem nietypowego zachowania. Warto również rozważyć zastosowanie mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference