CVE-2025-4420: Stored XSS w wtyczce Vayu Blocks dla WordPress i WooCommerce

Co wiadomo

Wtyczka Vayu Blocks – Gutenberg Blocks dla WordPress i WooCommerce jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'containerWidth' we wszystkich wersjach do 1.3.1 włącznie. Luka wynika z braku odpowiedniej kontroli uprawnień i niewystarczającej sanitacji danych wejściowych, co pozwala uwierzytelnionym użytkownikom na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z poziomem dostępu co najmniej Subskrybenta mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy właścicieli stron korzystających z tej wtyczki w wersjach podatnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Vayu Blocks i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż Subskrybent lub rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przejrzeć logi serwera pod kątem podejrzanych aktywności i monitorować system pod kątem nietypowych zachowań.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference