CVE-2025-8721: Stored XSS w wtyczce Workable Api dla WordPress

Co wiadomo

Wtyczka Workable Api dla WordPress do wersji 1.0.4 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode workable_jobs. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to wpływa na bezpieczeństwo witryn WordPress korzystających z tej wtyczki, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Workable Api u jej dostawcy i wdrożenie najnowszej wersji. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających wejścia użytkowników. Priorytetowo traktuj audyt i poprawę sanitacji danych w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference