Уразливість XSS у плагіні HTML Forms – Simple WordPress Forms (CVE-2025-13861)

Що відомо

Плагін HTML Forms – Simple WordPress Forms для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію метаданих поля завантаження файлів. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при перегляді сторінки з поданнями форм адміністратором.

Бізнес-вплив

Уразливість може призвести до виконання довільного коду в контексті адміністративної панелі WordPress, що ставить під загрозу безпеку сайту та конфіденційність даних. Це може спричинити компрометацію облікових записів адміністраторів і подальші атаки на інфраструктуру.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до адміністративної панелі, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію сайту. Важливо також інформувати команду безпеки про потенційні ризики.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference