CVE-2025-2524: luka wtyczki Ninja Forms umożliwiająca ataki Stored XSS

Co wiadomo

Wtyczka Ninja Forms dla WordPressa w wersjach przed 3.10.1 nie sanitizuje i nie ucieka poprawnie niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami, np. administratorom, na przeprowadzenie ataków Stored Cross-Site Scripting nawet przy wyłączonej zdolności unfiltered_html, np. w konfiguracji multisite.

Wpływ biznesowy

Luka ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny i jej użytkowników. Administratorzy i właściciele infrastruktury powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków XSS, które mogą skutkować kradzieżą danych lub przejęciem sesji. W środowiskach multisite ryzyko jest szczególnie istotne, gdyż atak może dotknąć wiele podstron.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Ninja Forms do wersji 3.10.1 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przejrzeć konfigurację multisite i rozważyć wprowadzenie dodatkowych zabezpieczeń przed XSS.

Źródła

• NVD
• Reference