CVE-2025-1622: podatność na atak XSS w wtyczce GDPR Cookie Compliance dla WordPress

Co wiadomo

Wtyczka GDPR Cookie Compliance dla WordPress w wersjach przed 4.15.7 nie sanitizuje i nie zabezpiecza niektórych ustawień, co może umożliwić użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataku typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do eskalacji ataku, potencjalnie wpływając na integralność i dostępność serwisu. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż luka działa mimo ograniczeń unfiltered_html.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki GDPR Cookie Compliance do wersji 4.15.7 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy przeprowadzić przegląd konfiguracji i rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference