Уразливість Stored XSS у плагіні Weekly Planner для WordPress (CVE-2025-12186)

Що відомо

Плагін Weekly Planner для WordPress версії 1.0 і раніше містить уразливість Stored Cross-Site Scripting через недостатню санітизацію введених даних у налаштуваннях адміністратора. Уразливість впливає на мультисайтові інсталяції та ті, де опція unfiltered_html вимкнена.

Бізнес-вплив

Зловмисники з правами адміністратора можуть впроваджувати шкідливі скрипти, які виконуються при доступі користувачів до заражених сторінок. Це підвищує ризик компрометації облікових записів та викрадення сесій, що може призвести до порушення цілісності та конфіденційності даних на сайті.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Weekly Planner від розробника та застосувати їх. Якщо оновлення недоступні, обмежте доступ до адміністративних налаштувань, перегляньте журнали на предмет підозрілої активності, а також розгляньте можливість тимчасового відключення плагіна на мультисайтових інсталяціях.

Джерела

• NVD
• Reference
• Reference