CVE-2025-3649: luka XSS w wtyczce LightPress Lightbox dla WordPress

Co wiadomo

Wtyczka LightPress Lightbox dla WordPress w wersjach przed 2.3.4 nie weryfikuje, czy linki do pobrania prowadzą do prawidłowych, nie-JavaScriptowych adresów URL, co umożliwia użytkownikom z rolą co najmniej współtwórcy przeprowadzenie ataków typu Stored XSS.

Wpływ biznesowy

Luka pozwala na wstrzyknięcie złośliwego kodu JavaScript, który może zostać wykonany w przeglądarce innych użytkowników, prowadząc do kradzieży danych sesji lub innych działań nieautoryzowanych. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko naruszenia bezpieczeństwa witryny oraz potencjalne szkody w reputacji i zaufaniu użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki LightPress Lightbox do wersji 2.3.4 lub nowszej. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych aktywności. Warto również przeprowadzić przegląd linków do pobrania i usunąć te, które mogą prowadzić do niebezpiecznych adresów URL.

Źródła

• NVD
• Reference