Luka XSS w wtyczce Shabat Keeper dla WordPress (CVE-2025-13701)

Co wiadomo

Wtyczka Shabat Keeper dla WordPress do wersji 0.4.4 włącznie jest podatna na atak typu Reflected Cross-Site Scripting (XSS) poprzez parametr $_SERVER['PHP_SELF']. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonają się w przeglądarce użytkownika, jeśli uda im się nakłonić go do kliknięcia spreparowanego linku. Może to prowadzić do kradzieży sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć ekspozycję podatnych stron, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników o ryzyku klikania nieznanych linków.

Źródła

• NVD
• Reference
• Reference
• Reference