CVE-2025-4220: Xavin's List Subpages WordPress Plugin podatny na przechowywany XSS

Co wiadomo

Wtyczka Xavin's List Subpages dla WordPressa do wersji 1.3 włącznie posiada lukę przechowywanego Cross-Site Scripting (XSS) w shortcode 'xls' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych ataków skierowanych na użytkowników witryny. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa i integralności swoich serwisów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Xavin's List Subpages i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'xls'. Regularnie przeglądaj i audytuj wtyczki pod kątem bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference