CVE-2025-14865: Wrażliwość Stored XSS w wtyczce Passster dla WordPress

Co wiadomo

Wtyczka Passster – Password Protect Pages and Content dla WordPress do wersji 4.2.24 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'content_protector'. Umożliwia to atakującym z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony. Częściowa poprawka została wprowadzona w wersji 4.2.21.

Wpływ biznesowy

Podatność pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla użytkowników i właścicieli stron. Atakujący z uprawnieniami Contributor mogą wykorzystać tę lukę do eskalacji zagrożeń w środowisku WordPress, wpływając na integralność i bezpieczeństwo treści oraz danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Passster i rozważyć aktualizację do najnowszej dostępnej wersji, w której luka została załatana. W przypadku braku możliwości aktualizacji, zaleca się ograniczenie uprawnień użytkowników oraz monitorowanie logów pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference