CVE-2025-1505: podatność XSS w wtyczce Advanced AJAX Product Filters dla WordPress

Co wiadomo

Wtyczka Advanced AJAX Product Filters dla WordPress do wersji 1.6.8.1 włącznie jest podatna na atak typu Reflected Cross-Site Scripting (XSS) poprzez parametr 'nonce'. Brak odpowiedniej sanitacji i escapingu danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które mogą zostać wykonane po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji użytkownika, przejęcia konta lub innych działań nieautoryzowanych, co zagraża bezpieczeństwu witryny i jej użytkowników. Operatorzy stron wykorzystujących tę wtyczkę powinni traktować tę lukę jako istotne ryzyko, zwłaszcza w środowiskach z dużym ruchem i wrażliwymi danymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników w zakresie unikania klikania w nieznane linki. Priorytetowo traktuj ocenę ryzyka i wdrożenie odpowiednich środków zabezpieczających.

Źródła

• NVD
• Reference
• Reference