CVE-2025-8445: Stored XSS w wtyczce Countdown Timer dla WordPress

Co wiadomo

Wtyczka Countdown Timer dla Elementor w WordPress do wersji 1.3.9 zawiera lukę Stored Cross-Site Scripting (XSS) w parametrze 'countdown_label'. Luka pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wykorzystać lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Zagrożenie dotyczy wszystkich wersji wtyczki do 1.3.9 włącznie.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Countdown Timer do najnowszej wersji dostępnej u dostawcy. W przypadku braku aktualizacji, ogranicz dostęp do funkcji edycji dla użytkowników z uprawnieniami Contributor i wyższymi, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ wdrożenie mechanizmów filtrowania i sanitizacji danych wejściowych. Priorytetowo traktuj przegląd i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference