CVE-2025-2561: luka wtyczki Ninja Forms umożliwiająca ataki XSS

Co wiadomo

Wtyczka Ninja Forms dla WordPressa w wersjach przed 3.10.1 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom o wysokich uprawnieniach, np. administratorom, na przeprowadzenie ataków typu Stored Cross-Site Scripting nawet gdy zdolność unfiltered_html jest wyłączona, np. w środowiskach multisite.

Wpływ biznesowy

Luka może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. Atakujący z uprawnieniami administratora mogą wykorzystać tę podatność do eskalacji ataków, wpływając na integralność i poufność systemu. W środowiskach multisite ryzyko jest szczególnie istotne ze względu na ograniczenia w filtrowaniu HTML.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Ninja Forms do wersji 3.10.1 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Przegląd konfiguracji multisite i weryfikacja ustawień filtrowania HTML również są wskazane.

Źródła

• NVD
• Reference