CVE-2025-15021: Stored Cross-Site Scripting w wtyczce Gotham Block Extra Light dla WordPress

Co wiadomo

Wtyczka Gotham Block Extra Light dla WordPress do wersji 1.5.0 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi operatorów WordPressa.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki Gotham Block Extra Light i rozważyć aktualizację do nowszej wersji po wydaniu poprawki przez producenta. W międzyczasie zaleca się ograniczenie uprawnień administratorów, monitorowanie logów pod kątem podejrzanych działań oraz ograniczenie dostępu do ustawień wtyczki. Warto również rozważyć ponowne włączenie filtra unfiltered_html, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference