CVE-2025-6462: podatność XSS w wtyczce ez sql reports shortcode widget and db backup dla WordPress

Co wiadomo

Wtyczka EZ SQL Reports Shortcode Widget and DB Backup dla WordPress do wersji 5.25.11 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez shortcode SQLREPORT. Problem wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych przekazywanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do edycji treści tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference