CVE-2025-5699: Stored XSS w wtyczce Developer Formatter dla WordPress

Co wiadomo

Wtyczka Developer Formatter dla WordPress do wersji 2015.0.2.1 zawiera lukę typu Stored Cross-Site Scripting (XSS) w funkcji Custom CSS, umożliwiającą administratorom wstrzyknięcie złośliwych skryptów. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i infrastruktury. Zagrożenie dotyczy głównie środowisk multisite i instalacji z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi operatorów tych systemów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Developer Formatter i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować konfigurację multisite oraz ustawienia unfiltered_html. Dodatkowo warto monitorować logi pod kątem podejrzanych działań i ograniczyć możliwość wstrzykiwania niestandardowego CSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference