Уразливість Reflected XSS у плагіні tagDiv Composer для WordPress (CVE-2025-2804)

Що відомо

Плагін tagDiv Composer для WordPress, який використовується у темі Newspaper, містить уразливість Reflected Cross-Site Scripting через параметри 'account_id' та 'account_username' у версіях до 5.3 включно. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при взаємодії користувача з посиланнями.

Бізнес-вплив

Уразливість може призвести до компрометації сесій користувачів, викрадення облікових даних або виконання небажаних дій від імені користувача. Власники сайтів на WordPress з темою Newspaper повинні враховувати ризики, пов’язані з потенційними атаками XSS, що можуть вплинути на довіру користувачів та безпеку даних.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна tagDiv Composer від розробника та застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ до параметрів 'account_id' та 'account_username', впровадити додаткові механізми фільтрації та санітизації введених даних, а також моніторити журнали безпеки на предмет підозрілої активності.

Джерела

• NVD
• Reference
• Reference