CVE-2025-14888: Luka XSS w wtyczce Simple User Meta Editor dla WordPress

Co wiadomo

Wtyczka Simple User Meta Editor dla WordPress do wersji 1.0.0 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez pole wartości meta użytkownika. Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji danymi lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Zagrożenie dotyczy głównie środowisk multisite i wymaga uwagi administratorów WordPress.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Simple User Meta Editor i jej natychmiastowe zastosowanie. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować i monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite. Warto również zweryfikować konfigurację opcji unfiltered_html.

Źródła

• NVD
• Reference
• Reference