Уразливість Stored XSS у плагіні A/B Testing для WordPress (CVE-2025-4587)

Що відомо

Плагін A/B Testing для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметра 'id' у блоці 'ab-testing-for-wp/ab-test-block' у версіях до 1.18.2 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть вставляти шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з правами контриб’ютора або вище впроваджувати шкідливі скрипти, що можуть викрасти сесійні дані користувачів або змінити вміст сторінок, що негативно впливає на безпеку вебсайту та довіру користувачів. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних і репутаційними втратами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна A/B Testing і встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів до рівня нижче контриб’ютора, провести аудит логів на наявність підозрілої активності та мінімізувати вплив шляхом обмеження можливостей введення даних. Також варто регулярно моніторити безпекові оновлення від розробника плагіна.

Джерела

• NVD
• Reference
• Reference