CVE-2025-13513: Reflected Cross-Site Scripting w wtyczce Clik stats dla WordPress

Co wiadomo

Wtyczka Clik stats dla WordPress do wersji 0.8 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr $_SERVER['PHP_SELF']. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wykonanie złośliwego kodu w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych opartych na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Clik stats u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz ekspozycję podatnych stron, monitoruj logi pod kątem podejrzanych żądań oraz edukuj użytkowników o ryzyku klikania w nieznane linki. Priorytetyzuj działania naprawcze zgodnie z ryzykiem biznesowym.

Źródła

• NVD
• Reference
• Reference
• Reference