CVE-2025-15522: Stored Cross-Site Scripting w wtyczce Uncanny Automator dla WordPress

Co wiadomo

Wtyczka Uncanny Automator dla WordPress do wersji 6.10.0.2 jest podatna na atak Stored Cross-Site Scripting poprzez shortcode automator_discord_user_mapping. Luka wynika z niewystarczającej sanitacji i ucieczki danych w parametrze verified_message, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin strony przez użytkowników z zweryfikowanym kontem Discord. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji shortcode automator_discord_user_mapping do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj uprawnienia użytkowników i rozważ ich ograniczenie do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference