CVE-2025-1620: podatność XSS w wtyczce GDPR Cookie Compliance dla WordPress

Co wiadomo

Wtyczka GDPR Cookie Compliance dla WordPress w wersjach przed 4.15.7 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i infrastruktury. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ luka działa mimo ograniczeń unfiltered_html. Może to wpłynąć na reputację firmy i bezpieczeństwo danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki GDPR Cookie Compliance do wersji 4.15.7 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć dodatkowe zabezpieczenia aplikacji webowej. Regularne przeglądy i testy bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference