CVE-2025-5533: Stored Cross-Site Scripting w wtyczce Knowledge Base dla WordPress

Co wiadomo

Wtyczka Knowledge Base dla WordPress do wersji 2.3.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'kbalert' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, przejęcia kont użytkowników lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Knowledge Base i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'kbalert'. Regularne przeglądy i audyty bezpieczeństwa są wskazane w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference