Уразливість Stored XSS у плагіні Kunze Law для WordPress (CVE-2025-15486)

Що відомо

Плагін Kunze Law для WordPress до версії 2.1 включно має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode, що дозволяє адміністраторам впроваджувати довільні скрипти на сторінках. Уразливість проявляється лише на мультисайтових інсталяціях або при відключеному unfiltered_html.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів, що потенційно дозволяє викрадення сесій, зміну контенту або інші атаки. Додатково, через вразливість обходу шляху в імені shortcode, зловмисники можуть записувати шкідливі HTML-файли у довільні доступні для запису директорії сервера, що підвищує ризик компрометації системи.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Kunze Law та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права доступу адміністраторам, перевірити налаштування unfiltered_html, а також провести аудит логів на предмет підозрілої активності. Для зниження ризиків варто обмежити можливість запису файлів у критичних директоріях сервера.

Джерела

• NVD
• Reference
• Reference
• Reference