CVE-2025-14725: Stored Cross-Site Scripting w wtyczce Internal Link Builder dla WordPress

Co wiadomo

Wtyczka Internal Link Builder dla WordPress do wersji 1.0 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i braków w escapingu wyjścia. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu odpowiednich stron, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie to wpływa na bezpieczeństwo instalacji multisite WordPress, szczególnie tam, gdzie wyłączono filtr unfiltered_html, zwiększając ryzyko nadużyć i utraty zaufania.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Internal Link Builder i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować i monitorować logi pod kątem podejrzanej aktywności oraz rozważyć ponowne włączenie filtra unfiltered_html, aby zmniejszyć ryzyko wykorzystania luki. Priorytetowo traktuj audyt i zabezpieczenie środowisk multisite WordPress.

Źródła

• NVD
• Reference
• Reference