CVE-2025-28914: Збережена XSS у формі входу WordPress плагіна Login Form to Anywhere

Що відомо

У плагіні WordPress Login Form to Anywhere виявлено вразливість типу збережена міжсайтового скриптингу (Stored XSS), що дозволяє зловмисникам виконувати шкідливий код через некоректну нейтралізацію введених даних. Проблема існує у версіях до 0.2 включно.

Бізнес-вплив

Вразливість може дозволити атакуючим виконувати довільний JavaScript у контексті сайту, що може призвести до викрадення сесій користувачів, зміни контенту або інших шкідливих дій. Для власників сайтів на WordPress, які використовують цей плагін, це створює ризик компрометації облікових записів та зниження довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Login Form to Anywhere від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до форми входу, провести аудит журналів безпеки на предмет підозрілої активності та розглянути тимчасове відключення плагіна. Важливо також інформувати користувачів про потенційні ризики.

Джерела

• NVD
• Reference