CVE-2025-14579: Luka XSS w wtyczce Quiz Maker dla WordPress

Co wiadomo

Wtyczka Quiz Maker dla WordPress w wersjach przed 6.7.0.89 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataku typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atak XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu danych i stabilności serwisu. W środowiskach multisite, gdzie unfiltered_html jest zwykle wyłączone, luka ta nadal pozwala na eskalację zagrożeń. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z tą wtyczką, zwłaszcza jeśli jest ona używana w środowiskach o wielu użytkownikach z różnymi uprawnieniami.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Quiz Maker do wersji 6.7.0.89 lub nowszej, jeśli jest dostępna. W przypadku braku natychmiastowej możliwości aktualizacji, warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i uprawnień użytkowników również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference