CVE-2025-5291: podatność Stored Cross-Site Scripting w wtyczce Master Slider dla WordPress

Co wiadomo

Wtyczka Master Slider – Responsive Touch Slider dla WordPress jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y masterslider_pb i ms_slide we wszystkich wersjach do 3.10.8 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwych skryptów w kontekście strony, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Master Slider u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji wykorzystujących podatne shortcode'y. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i edukację użytkowników z uprawnieniami współtwórców i wyższymi.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference