Вразливість Stored XSS у плагіні MediaPress для WordPress (CVE-2025-14552)

Що відомо

Плагін MediaPress для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode mpp-uploader у версіях до 1.6.1 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам із правами контриб'ютора або вище впроваджувати шкідливі скрипти, що можуть викрасти сесійні дані користувачів або змінити вміст сторінок. Це підвищує ризик компрометації вебсайту та довіри користувачів, що може негативно вплинути на репутацію та безпеку інфраструктури.

Рекомендовані дії адміністратора

Рекомендується оновити плагін MediaPress до останньої версії, де ця вразливість усунена. Якщо оновлення неможливе, слід обмежити права користувачів, провести аудит логів на наявність підозрілої активності та впровадити додаткові заходи фільтрації введення. Перевірте офіційні рекомендації розробника плагіна для застосування патчів.

Джерела

• NVD
• Reference
• Reference