CVE-2025-7810: Wtyczka StreamWeasels Kick Integration dla WordPress podatna na Stored XSS

Co wiadomo

Wtyczka StreamWeasels Kick Integration dla WordPress w wersjach do 1.1.4 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'data-uuid'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Może to naruszyć integralność i bezpieczeństwo witryny oraz zaszkodzić reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności i rozważ zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference
• Reference
• Reference