CVE-2025-5559: podatność Stored XSS w wtyczce TimeZoneCalculator dla WordPress

Co wiadomo

Wtyczka TimeZoneCalculator dla WordPress do wersji 3.37 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) w shortcode 'timezonecalculator_output' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współautora wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. Atakujący z uprawnieniami współautora mogą wykorzystać lukę do eskalacji ataku, wpływając na reputację firmy i powodując potencjalne naruszenia danych. Wdrożenie odpowiednich środków zabezpieczających jest kluczowe dla ochrony środowiska WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki TimeZoneCalculator u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do wtyczki tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference