Вразливість Stored XSS у плагіні IndieWeb для WordPress (CVE-2025-14893)

Що відомо

Плагін IndieWeb для WordPress до версії 4.0.5 включно містить вразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'Telephone'. Аутентифіковані користувачі з рівнем доступу автора і вище можуть впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з авторським доступом впроваджувати шкідливі скрипти, що може призвести до компрометації сесій користувачів, викрадення даних або поширення шкідливого коду серед відвідувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна IndieWeb і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів до рівня нижче автора, ретельно перевіряти введені дані, а також моніторити журнали безпеки на предмет підозрілої активності. Загалом, слід мінімізувати ризики шляхом зменшення поверхні атаки та регулярного перегляду безпекових налаштувань.

Джерела

• NVD
• Reference
• Reference