CVE-2025-2076: podatność Stored Cross-Site Scripting w wtyczce binlayerpress dla WordPress

Co wiadomo

Wtyczka binlayerpress dla WordPress do wersji 1.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora z powodu niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, manipulacją treścią lub innymi atakami skierowanymi na użytkowników i administratorów witryny. Operatorzy powinni ocenić ryzyko w środowiskach korzystających z tej wtyczki i odpowiednio zarządzać uprawnieniami oraz konfiguracją.

Rekomendowane działania administratora

Zaleca się przegląd dostępnych aktualizacji wtyczki binlayerpress i ich szybkie wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów oraz rozważyć ponowne włączenie filtrowania unfiltered_html. Dodatkowo warto monitorować logi pod kątem podejrzanej aktywności i ograniczać dostęp do panelu administracyjnego tylko do zaufanych użytkowników.

Źródła

• NVD
• Reference
• Reference