CVE-2025-3583: podatność XSS w wtyczce Newsletter dla WordPress

Co wiadomo

Wtyczka Newsletter dla WordPress w wersjach przed 8.7.1 nie sanitizuje i nie ucieka niektórych ustawień, co pozwala użytkownikom z wysokimi uprawnieniami (np. administratorom) na przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub eskalacji uprawnień. W środowiskach multisite, gdzie unfiltered_html jest wyłączone, ryzyko pozostaje istotne, co może wpłynąć na bezpieczeństwo całej sieci WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Newsletter do wersji 8.7.1 lub nowszej, w której problem został załatany. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać i weryfikować ustawienia wtyczki pod kątem potencjalnie niebezpiecznych wartości.

Źródła

• NVD
• Reference