CVE-2025-5123: podatność Stored XSS w wtyczce Contact Us Page – Contact People dla WordPress

Co wiadomo

Wtyczka Contact Us Page – Contact People dla WordPress do wersji 3.7.4 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrze 'style'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań złośliwych wykonywanych w kontekście przeglądarki ofiary. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych, zwłaszcza jeśli na stronie korzystają z niej klienci lub partnerzy biznesowi. Administratorzy powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Contact Us Page – Contact People i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji umożliwiającej wprowadzanie danych przez użytkowników. Regularne przeglądy bezpieczeństwa i edukacja zespołu są również wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference