WPC Badge Management dla WooCommerce narażony na Stored Cross-Site Scripting (CVE-2025-14767)

Co wiadomo

Wtyczka WPC Badge Management dla WooCommerce w WordPressie jest podatna na atak Stored Cross-Site Scripting poprzez atrybut 'text' shortcode'u 'wpcbm_best_seller' w wersjach do 3.1.6 włącznie. Atakujący z uprawnieniami Shop Managera lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Shop Managera lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli sklepów. Może to wpłynąć na zaufanie klientów oraz bezpieczeństwo infrastruktury e-commerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WPC Badge Management i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu zarządzania tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeprowadź przegląd i walidację wprowadzanych danych w shortcode'ach oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i eskalacji uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference