CVE-2025-5275: podatność Stored XSS w wtyczce Charitable dla WordPress

Co wiadomo

Wtyczka Charitable – Donation Plugin for WordPress do zarządzania zbiórkami funduszy jest podatna na atak Stored Cross-Site Scripting (XSS) w polach ustawień prywatności w wersjach do 1.8.6.1 włącznie. Luka pozwala administratorom na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanych stron, dotyczy instalacji multisite oraz tam, gdzie wyłączono unfiltered_html.

Wpływ biznesowy

Podatność umożliwia administratorom złośliwe wstrzyknięcie kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników lub manipulacji zawartością stron. Zagrożenie dotyczy głównie środowisk multisite i instalacji z wyłączoną opcją unfiltered_html, co może wpływać na integralność i bezpieczeństwo witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Charitable do wersji 1.8.6.2 lub nowszej, gdzie problem został całkowicie usunięty. W przypadku braku możliwości aktualizacji, ogranicz dostęp administratorów oraz monitoruj logi pod kątem podejrzanych działań. Przeglądaj i weryfikuj ustawienia prywatności oraz rozważ ograniczenie funkcji w środowiskach multisite.

Źródła

• NVD
• Reference
• Reference