CVE-2025-4577: podatność Stored XSS w wtyczce Smash Balloon Social Post Feed dla WordPress

Co wiadomo

Wtyczka Smash Balloon Social Post Feed dla WordPress do wersji 4.3.1 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut data-color z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami co najmniej na poziomie Współautora mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współautora lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży sesji, manipulacji treścią lub eskalacji uprawnień. W środowiskach z wieloma użytkownikami i różnymi poziomami dostępu zwiększa to ryzyko naruszenia integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Smash Balloon Social Post Feed i jej instalację. W międzyczasie ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie mechanizmów zapobiegających XSS. Regularnie przeglądaj i audytuj uprawnienia użytkowników w WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference