CVE-2025-14887: Stored Cross-Site Scripting w wtyczce twinklesmtp dla WordPress

Co wiadomo

Wtyczka twinklesmtp dla WordPress do wersji 1.03 włącznie zawiera lukę typu Stored Cross-Site Scripting w ustawieniach nadawcy, wynikającą z niewystarczającej sanitacji i eskapowania danych wejściowych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html i pozwala administratorom na wstrzyknięcie złośliwych skryptów wykonywanych przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w panelu WordPress, co może prowadzić do przejęcia sesji, manipulacji zawartością lub eskalacji uprawnień. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączoną filtracją HTML, co wymaga szczególnej uwagi właścicieli i operatorów takich instalacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki twinklesmtp i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować i oczyścić ustawienia nadawcy w wtyczce oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć ponowne włączenie filtracji unfiltered_html, jeśli to możliwe, aby zmniejszyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference