CVE-2025-4589: Bon Toolkit dla WordPress podatny na przechowywany XSS w shortcode 'bt-map'

Co wiadomo

Wtyczka Bon Toolkit dla WordPress do wersji 1.3.2 włącznie zawiera lukę przechowywanego Cross-Site Scripting (XSS) w shortcode 'bt-map' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na eskalację ataków XSS w witrynach korzystających z Bon Toolkit, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań złośliwych. Zagrożenie dotyczy zwłaszcza serwisów, gdzie użytkownicy mają uprawnienia współtwórcy lub wyższe. W efekcie może to obniżyć zaufanie użytkowników i narazić firmę na straty reputacyjne oraz potencjalne naruszenia danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Bon Toolkit i rozważyć aktualizację do nowszej, wolnej od tej luki wersji, jeśli jest dostępna. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, przegląd logów pod kątem podejrzanych działań oraz monitorowanie stron wykorzystujących shortcode 'bt-map'. Warto także stosować dodatkowe mechanizmy zabezpieczające przed XSS i edukować użytkowników o potencjalnych zagrożeniach.

Źródła

• NVD
• Reference
• Reference