Luka XSS w wtyczce WP Easy FAQs dla WordPress (CVE-2025-8686)

Co wiadomo

Wtyczka WP Easy FAQs dla WordPress do wersji 1.0.5 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode WP_EASY_FAQ. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji zawierającej poprawkę bezpieczeństwa. Jeśli aktualizacja nie jest dostępna, ogranicz dostęp do funkcji shortcode WP_EASY_FAQ tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i escapingu danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference