CVE-2025-15483: Stored XSS w wtyczce Link Hopper dla WordPress

Co wiadomo

Wtyczka Link Hopper dla WordPress do wersji 2.5 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'hop_name'. Luka dotyczy instalacji multisite oraz tych z wyłączoną opcją unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala atakującym z uprawnieniami administratora na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji lub innych działań szkodliwych dla użytkowników i infrastruktury. Zagrożenie dotyczy głównie środowisk multisite oraz tych z restrykcjami dotyczącymi filtrowania HTML.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Link Hopper i ich zastosowanie. W przypadku braku łatki warto ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference