CVE-2025-9856: Stored XSS w wtyczce Popup Builder dla WordPress

Co wiadomo

Wtyczka Popup Builder do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'sg_popup' we wszystkich wersjach do 4.4.1 włącznie. Luka wynika z niewystarczającej sanitizacji i eskapowania danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli dostęp do panelu WordPress jest szeroko udostępniony.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Popup Builder i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'sg_popup'.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference