CVE-2025-4684: Stored XSS w wtyczce BlockSpare dla WordPress

Co wiadomo

Wtyczka BlockSpare: Gutenberg Blocks & Patterns dla WordPress do wersji 3.2.13.1 zawiera lukę typu Stored Cross-Site Scripting w atrybutach HTML widgetów Image Carousel i Image Slider. Luka pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Właściciele stron i operatorzy CMS powinni zwrócić uwagę na tę lukę, zwłaszcza w środowiskach z wieloma użytkownikami o różnych poziomach dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki BlockSpare i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference