CVE-2025-3669: Stored Cross-Site Scripting w wtyczce Supreme Addons for Beaver Builder

Co wiadomo

Wtyczka Supreme Addons for Beaver Builder do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode auto_qrcodesabb w wersjach do 1.0.9 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych przekazywanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzenia zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i właścicieli witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode auto_qrcodesabb, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference