CVE-2025-2892: podatność Stored XSS w wtyczce All in One SEO dla WordPress

Co wiadomo

Wtyczka All in One SEO do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametry Meta Description i Canonical URL w wersjach do 4.8.1.1 włącznie. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem do panelu WordPressa na wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki All in One SEO i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nietypowego zachowania. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference