CVE-2025-3435: Stored Cross-Site Scripting w wtyczce Mang Board WP dla WordPress

Co wiadomo

Wtyczka Mang Board WP dla WordPress do wersji 1.8.6 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametry board_header i board_footer. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co pozwala administratorom na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora w środowiskach multi-site lub tam, gdzie wyłączono unfiltered_html, wstrzyknięcie i wykonanie złośliwych skryptów w kontekście użytkownika. Może to prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i integralności serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Mang Board WP i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować konfigurację unfiltered_html oraz monitorować logi pod kątem podejrzanej aktywności. Priorytetem jest minimalizacja ekspozycji instalacji multi-site.

Źródła

• NVD
• Reference
• Reference