Вразливість Reflected XSS у плагіні CM FAQ для WordPress (CVE-2025-2166)

Що відомо

Плагін CM FAQ для WordPress містить вразливість Reflected Cross-Site Scripting через неналежне екранування URL при використанні функції remove_query_arg у версіях до 1.2.5 включно. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при дії користувача, наприклад, кліку на посилання.

Бізнес-вплив

Вразливість може призвести до компрометації сесій користувачів, викрадення їхніх даних або виконання небажаних дій від їх імені, що негативно впливає на безпеку вебсайту та довіру користувачів. Для власників інфраструктури це означає підвищений ризик атак через веб-інтерфейс, що може спричинити репутаційні та фінансові втрати.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна CM FAQ від розробника та встановити їх у разі доступності. Якщо оновлення недоступні, слід обмежити доступ до уразливих сторінок, впровадити додаткові заходи фільтрації введених даних, переглянути журнали на предмет підозрілої активності та підвищити обізнаність користувачів щодо безпечної взаємодії з посиланнями.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference