CVE-2025-7486: Stored Cross-Site Scripting w wtyczce Ebook Store dla WordPress

Co wiadomo

Wtyczka Ebook Store dla WordPress do wersji 5.8012 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez szczegóły zamówienia. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, co umożliwia administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzyknąć i wykonać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników lub modyfikacji zawartości stron. Wpływa to na bezpieczeństwo i integralność witryny oraz może obniżyć zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp administratorów do niezbędnego minimum, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ włączenie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej.

Źródła

• NVD
• Reference
• Reference
• Reference