CVE-2025-1559: podatność Stored XSS w wtyczce CC-IMG-Shortcode dla WordPress

Co wiadomo

Wtyczka CC-IMG-Shortcode dla WordPress do wersji 1.1.0 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode 'img'. Niewystarczająca sanitacja i eskalacja danych wejściowych umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania zainfekowanych stron.

Wpływ biznesowy

Podatność ta pozwala na trwałe wstrzyknięcie kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Administratorzy stron WordPress korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki CC-IMG-Shortcode u jej dostawcy oraz ich instalację. W przypadku braku łatki, należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference