CVE-2025-9332: Stored Cross-Site Scripting w wtyczce Interactive Human Anatomy dla WordPress

Co wiadomo

Wtyczka Interactive Human Anatomy with Clickable Body Parts dla WordPress do wersji 2.6 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitizacji i escapingu danych wejściowych. Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, umożliwiając atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w panelu WordPress, co może prowadzić do przejęcia kontroli nad stroną lub kradzieży danych użytkowników. Zagrożenie dotyczy głównie instalacji multisite oraz środowisk z wyłączoną opcją unfiltered_html, co wymaga szczególnej uwagi od właścicieli i operatorów infrastruktury.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki Interactive Human Anatomy i ich niezwłoczne zastosowanie. W przypadku braku łatki warto ograniczyć uprawnienia administratorów, zweryfikować i monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference