CVE-2025-7661: podatność Stored XSS w wtyczce Partnerský systém Martinus dla WordPress

Co wiadomo

Wtyczka Partnerský systém Martinus dla WordPress do wersji 1.7.1 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'martinus'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Podatność pozwala atakującym z uprawnieniami współpracownika lub wyższymi na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Martinus i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji shortcode 'martinus' tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i wzmocnienie mechanizmów sanitacji danych wejściowych w aplikacji oraz edukować użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference