CVE-2025-5585: podatność Stored XSS w wtyczce SiteOrigin Widgets Bundle

Co wiadomo

Wtyczka SiteOrigin Widgets Bundle dla WordPressa do wersji 1.68.4 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut data-url elementu DOM. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS, gdzie wielu użytkowników ma uprawnienia do edycji treści, ryzyko wykorzystania tej luki jest istotne i wymaga szybkiej reakcji.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki SiteOrigin Widgets Bundle i zaktualizować ją do najnowszej dostępnej wersji, w której podatność została załatana. Jeśli aktualizacja nie jest możliwa od razu, zaleca się ograniczenie uprawnień użytkowników do minimum niezbędnego oraz monitorowanie logów pod kątem podejrzanych działań. Warto również przeprowadzić przegląd i oczyszczenie treści wprowadzonych przez użytkowników z uprawnieniami edycyjnymi.

Źródła

• NVD
• Reference
• Reference