Wielokrotne XSS w wtyczce Terms descriptions dla WordPress (CVE-2025-6719)

Co wiadomo

Wtyczka Terms descriptions dla WordPress do wersji 3.4.8 zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać i wykonywać złośliwe skrypty w panelu WordPress, co może prowadzić do przejęcia sesji, manipulacji danymi lub dalszych ataków na użytkowników. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi operatorów tych instalacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Terms descriptions i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować konfigurację multisite oraz ustawienia unfiltered_html. Dodatkowo warto monitorować logi pod kątem podejrzanych działań i rozważyć wprowadzenie dodatkowych mechanizmów filtrowania treści.

Źródła

• NVD
• Reference
• Reference