CVE-2025-8568: Stored Cross-Site Scripting w wtyczce GMap Generator dla WordPress

Co wiadomo

Wtyczka GMap Generator dla WordPress do wersji 1.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'h' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współpracownika (Contributor) wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią strony lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki GMap Generator i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów ochrony przed XSS, takich jak Content Security Policy (CSP).

Źródła

• NVD
• Reference
• Reference
• Reference