CVE-2025-6716: podatność Stored XSS w wtyczce WordPress do galerii konkursów

Co wiadomo

Wtyczka WordPress 'Photos, Files, YouTube, Twitter, Instagram, TikTok, Ecommerce Contest Gallery' jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'upload[1][title]' we wszystkich wersjach do 26.0.8 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, umożliwiając atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność ta może pozwolić na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Administratorzy stron korzystających z tej wtyczki powinni potraktować tę lukę jako istotne zagrożenie, szczególnie w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W przypadku braku natychmiastowej poprawki, ograniczenie dostępu do funkcji przesyłania plików tylko do zaufanych użytkowników oraz monitorowanie logów pod kątem podejrzanej aktywności jest wskazane. Dodatkowo warto przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference