CVE-2025-15266: GeekyBot dla WordPress podatny na przechowywany XSS

Co wiadomo

Wtyczka GeekyBot do WordPress, służąca do generowania treści AI i generowania leadów, jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez pole wiadomości czatu w wersjach do 1.1.8 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu danych wyjściowych.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas przeglądania historii czatu przez administratora. Może to prowadzić do przejęcia sesji administratora, eskalacji uprawnień lub innych działań zagrażających bezpieczeństwu systemu CMS i danych firmowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki GeekyBot i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do strony historii czatu tylko do zaufanych administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference