CVE-2025-1485: podatność Real Cookie Banner w WordPress

Co wiadomo

Wtyczka Real Cookie Banner: GDPR & ePrivacy Cookie Consent dla WordPress w wersjach przed 5.1.6 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu przez administratorów, co zagraża integralności i bezpieczeństwu witryny oraz danych użytkowników. Może to skutkować utratą zaufania klientów oraz potencjalnymi naruszeniami zgodności z przepisami ochrony danych. Operatorzy CMS powinni zwrócić uwagę na tę lukę, szczególnie w środowiskach multisite.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Real Cookie Banner do wersji 5.1.6 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj konfigurację uprawnień użytkowników i rozważ wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference