CVE-2025-5530: podatność Stored XSS w wtyczce WPC Smart Compare dla WooCommerce

Co wiadomo

Wtyczka WPC Smart Compare dla WooCommerce w WordPressie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'shortcode_btn' w wersjach do 6.4.6 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defraudacji danych lub dalszego rozprzestrzeniania ataku w środowisku WordPress. Może to wpłynąć na integralność i bezpieczeństwo witryny oraz zaufanie użytkowników.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki u dostawcy i zastosować je, jeśli są dostępne. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanej aktywności oraz przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference