CVE-2025-2804: podatność Reflected Cross-Site Scripting w wtyczce tagDiv Composer dla WordPress

Co wiadomo

Wtyczka tagDiv Composer, używana w motywie Newspaper dla WordPress, jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametry 'account_id' i 'account_username' w wersjach do 5.3 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co umożliwia atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wstrzyknięcia i wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych nieautoryzowanych działań. Zagrożenie dotyczy stron korzystających z podatnej wersji wtyczki, co może wpłynąć na reputację i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki tagDiv Composer i jej instalację. W przypadku braku łatki, ogranicz ekspozycję parametrów 'account_id' i 'account_username', monitoruj logi pod kątem podejrzanych żądań oraz edukuj użytkowników w zakresie ostrożności przy klikaniu linków. Priorytetyzuj działania zabezpieczające na podstawie ryzyka i charakteru witryny.

Źródła

• NVD
• Reference
• Reference