CVE-2025-2510: podatność Stored XSS w wtyczce Frndzk Expandable Bottom Bar dla WordPress

Co wiadomo

Wtyczka Frndzk Expandable Bottom Bar dla WordPress do wersji 1.0 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w parametrze 'text' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia administratorom złośliwe wstrzyknięcie kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla użytkowników i integralności witryny. Zagrożenie dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, co ogranicza zakres ryzyka, ale wymaga uwagi w środowiskach wielostanowiskowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference