CVE-2025-7653: Stored Cross-Site Scripting w wtyczce EPay.bg Payments dla WordPress

Co wiadomo

Wtyczka EPay.bg Payments dla WordPress do wersji 0.1 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'epay'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Wpływa to na zaufanie użytkowników oraz może skutkować naruszeniem danych i reputacji firmy.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki EPay.bg Payments i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum niezbędnego oraz monitorowanie logów pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS oraz regularne audyty bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference