CVE-2025-13369: Reflected XSS w wtyczce Premmerce WooCommerce Customers Manager dla WordPress

Co wiadomo

Wtyczka Premmerce WooCommerce Customers Manager do WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametry 'money_spent_from', 'money_spent_to', 'registered_from' i 'registered_to' we wszystkich wersjach do 1.1.14 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala atakującym na wstrzyknięcie złośliwych skryptów i wykonanie ich po nakłonieniu administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przeprowadzenia ataków XSS, które mogą skutkować kradzieżą sesji administratora, manipulacją zawartością strony lub innymi nieautoryzowanymi działaniami. Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko naruszenia bezpieczeństwa panelu administracyjnego WordPress oraz potencjalne szkody dla reputacji i integralności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Premmerce WooCommerce Customers Manager i wdrożenie najnowszej wersji zawierającej poprawki bezpieczeństwa. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych aktywności oraz edukować administratorów o ryzyku kliknięcia w nieznane linki. Priorytetowo traktuj przegląd i aktualizację wtyczek oraz stosowanie najlepszych praktyk zabezpieczeń WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference