CVE-2025-4611: Stored Cross-Site Scripting w wtyczce Slim SEO dla WordPress

Co wiadomo

Wtyczka Slim SEO – Fast & Automated WordPress SEO Plugin do wersji 4.5.3 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode slim_seo_breadcrumbs. Luka wynika z niewystarczającej sanitizacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo użytkowników i reputację firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Slim SEO i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode slim_seo_breadcrumbs.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference