CVE-2025-5940: podatność Stored XSS w wtyczce Osom Blocks dla WordPress

Co wiadomo

Wtyczka Osom Blocks – Custom Post Type listing block dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'class_name' w wersjach do 1.2.1 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach biznesowych może to skutkować utratą zaufania klientów oraz naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Osom Blocks i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Contributor i wyżej oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem wstrzykniętych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference