Luka Stored XSS w wtyczce Advanced iFrame dla WordPress

Co wiadomo

Wtyczka Advanced iFrame dla WordPress w wersji 2025.6 i starszych jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'additional'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Advanced iFrame i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd zabezpieczeń i ograniczyć ekspozycję podatnych parametrów.

Źródła

• NVD
• Reference
• Reference
• Reference