CVE-2025-2205: podatność XSS w wtyczce GDPR Cookie Compliance dla WordPress

Co wiadomo

Wtyczka GDPR Cookie Compliance dla WordPress do wersji 4.15.6 zawiera podatność typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność ta dotyczy instalacji wielostanowiskowych oraz takich, gdzie wyłączono filtr unfiltered_html, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, manipulacją zawartością strony lub innymi atakami skierowanymi na użytkowników i administratorów. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami administratorów oraz konfiguracją instalacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia administratorów, zweryfikować konfigurację instalacji pod kątem unfiltered_html oraz monitorować logi pod kątem podejrzanych działań. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference