WP Plugin Info Card narażony na przechowywany XSS przez parametr 'containerid'

Co wiadomo

Wtyczka WP Plugin Info Card dla WordPressa do wersji 5.3.1 włącznie zawiera lukę przechowywanego Cross-Site Scripting (XSS) w parametrze 'containerid', umożliwiającą atakującym z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów. Luka wynika z niepełnej poprawki wcześniejszego problemu CVE-2025-31835.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji zawartością lub innych działań szkodliwych dla użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, gdyż może ona narazić ich witryny na ataki XSS i utratę zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Plugin Info Card i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy bezpieczeństwa i stosowanie zasad minimalnych uprawnień pomogą ograniczyć ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference