CVE-2025-1623: podatność na atak Stored XSS w wtyczce GDPR Cookie Compliance dla WordPress

Co wiadomo

Wtyczka GDPR Cookie Compliance dla WordPress w wersjach przed 4.15.9 nieprawidłowo oczyszcza i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowisku multisite.

Wpływ biznesowy

Atak Stored XSS może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite ryzyko jest szczególnie istotne, ponieważ atak może wpłynąć na wiele podstron. Operatorzy IT powinni zwrócić uwagę na możliwość eskalacji uprawnień i potencjalne naruszenia integralności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki GDPR Cookie Compliance do wersji 4.15.9 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo należy przejrzeć konfigurację uprawnień i rozważyć wdrożenie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference