Luka XSS w wtyczce NewStatPress dla WordPress (CVE-2025-13747)

Co wiadomo

Wtyczka NewStatPress dla WordPress do wersji 1.4.3 zawiera lukę typu Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych w funkcji nsp_shortcode. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia atakującym z poziomem dostępu współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych ataków na użytkowników i administratorów. Może to obniżyć zaufanie do serwisu i narazić firmę na ryzyko utraty danych lub reputacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki NewStatPress i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference
• Reference