Luka XSS w wtyczce Breeze Display dla WordPress (CVE-2025-3749)

Co wiadomo

Wtyczka Breeze Display dla WordPress do wersji 1.2.3 zawiera lukę typu Stored Cross-Site Scripting (XSS) poprzez parametr 'cal_size'. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia atakującym z dostępem na poziomie Współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko związane z dostępem użytkowników i monitorować aktywność w serwisie.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Breeze Display i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie poziom Współtwórcy i wyżej. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć zastosowanie mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference