CVE-2025-3748: podatność Stored XSS w wtyczce Taxonomy Chain Menu dla WordPress

Co wiadomo

Wtyczka Taxonomy Chain Menu dla WordPress do wersji 1.0.8 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode pn_chain_menu. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzenia zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Właściciele stron powinni zwrócić uwagę na tę lukę, aby zapobiec potencjalnym incydentom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Taxonomy Chain Menu u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i audyt bezpieczeństwa stron WordPress jest wskazana.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference