CVE-2025-9543: Luka XSS w wtyczce FlexTable dla WordPress

Co wiadomo

Wtyczka FlexTable dla WordPress w wersjach przed 3.19.2 nie sanitizuje i nie ucieka importowanych linków z komórek Google Sheet, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy zdolność unfiltered_html jest wyłączona.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu witryny i danych. W środowiskach multisite, gdzie unfiltered_html jest zwykle zablokowane, atak nadal może być skuteczny, zwiększając ryzyko kompromitacji. Operatorzy powinni zwrócić uwagę na potencjalne nadużycia i możliwe skutki dla integralności i poufności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki FlexTable do wersji 3.19.2 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do funkcji importu linków oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj i weryfikuj uprawnienia użytkowników o wysokich uprawnieniach oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania treści.

Źródła

• NVD
• Reference