CVE-2025-7046: podatność Stored XSS w wtyczce PowerFolio dla WordPress

Co wiadomo

Wtyczka Portfolio for Elementor & Image Gallery | PowerFolio do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez niestandardowe atrybuty JS w widgetach. Luka dotyczy wersji do 3.2.0 włącznie i pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Zagrożenie to wymaga uwagi właścicieli stron korzystających z tej wtyczki, zwłaszcza jeśli dostęp do panelu mają użytkownicy z podwyższonymi uprawnieniami.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki PowerFolio do wersji 3.2.1 lub nowszej, w której luka została całkowicie załatana. W przypadku braku możliwości aktualizacji należy ograniczyć dostęp użytkowników do poziomu Contributor i wyżej oraz monitorować logi pod kątem podejrzanej aktywności. Warto także przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference