CVE-2025-7035: podatność Media Library Assistant na trwały Cross-Site Scripting

Co wiadomo

Wtyczka Media Library Assistant dla WordPressa do wersji 3.26 włącznie zawiera lukę umożliwiającą trwały Cross-Site Scripting (XSS) poprzez shortcode mla_tag_cloud i mla_term_list. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkowników.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników i infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference