CVE-2025-8780: Stored Cross-Site Scripting w wtyczce Livemesh SiteOrigin Widgets dla WordPress

Co wiadomo

Wtyczka Livemesh SiteOrigin Widgets dla WordPress do wersji 3.9.1 zawiera lukę umożliwiającą atak Stored Cross-Site Scripting (XSS) poprzez widgety Hero Header i Pricing Table. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Livemesh SiteOrigin Widgets i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie poziomu współtwórcy i wyżej. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanych aktywności oraz monitorować aplikację pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference