CVE-2025-14937: Stored Cross-Site Scripting w wtyczce Frontend Admin by DynamiApps dla WordPress

Co wiadomo

Wtyczka Frontend Admin by DynamiApps dla WordPress do wersji 3.28.23 zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrze 'acff' w akcji AJAX 'frontend_admin/forms/update_field'. Brak odpowiedniej sanitizacji danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką Frontend Admin powinni traktować tę lukę jako poważne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Frontend Admin u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji AJAX oraz monitorować logi serwera pod kątem podejrzanej aktywności. Wdrożenie mechanizmów filtrowania i walidacji danych wejściowych oraz edukacja użytkowników również mogą pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference