CVE-2025-8687: Wtyczka Enter Addons dla WordPress podatna na przechowywany XSS

Co wiadomo

Wtyczka Enter Addons dla WordPress do wersji 2.2.7 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) w widgetach Countdown i Image Comparison. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, deface'u strony lub innych ataków skierowanych na użytkowników i administratorów. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Enter Addons i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować strony korzystające z podatnych widgetów. Warto również rozważyć tymczasowe wyłączenie podatnych funkcji.

Źródła

• NVD
• Reference
• Reference
• Reference