CVE-2025-9367: Stored Cross-Site Scripting w wtyczce Welcart e-Commerce dla WordPress

Co wiadomo

Wtyczka Welcart e-Commerce dla WordPress do wersji 2.11.20 jest podatna na atak typu Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia. Atakujący z uprawnieniami edytora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do przejęcia sesji użytkowników lub wykonania nieautoryzowanych działań w panelu WordPress, co zagraża integralności i bezpieczeństwu witryny oraz danych klientów.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki Welcart i rozważyć aktualizację do nowszej wersji po jej wydaniu. Zaleca się także ograniczenie uprawnień użytkowników, monitorowanie logów pod kątem podejrzanej aktywności oraz przegląd konfiguracji multisite i ustawień unfiltered_html w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference