CVE-2025-9378: Stored XSS w wtyczce Vayu Blocks dla WordPress

Co wiadomo

Wtyczka Vayu Blocks – Website Builder for the Block Editor dla WordPress do wersji 1.3.9 zawiera podatność typu Stored Cross-Site Scripting (XSS) w bloku Lottie, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzenia zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem Contributor lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów stron. Wpływa to na bezpieczeństwo witryn opartych na WordPress z zainstalowaną podatną wersją wtyczki, zwiększając ryzyko naruszeń i utraty zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Vayu Blocks i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego bloku Lottie. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference
• Reference
• Reference