CVE-2025-13898: Stored Cross-Site Scripting w wtyczce Ultra Skype Button dla WordPress

Co wiadomo

Wtyczka Ultra Skype Button dla WordPress do wersji 1.0 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'btn_id' shortcode'u [ultra_skype]. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie Współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ultra Skype Button i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i audyty bezpieczeństwa są wskazane, aby zapobiegać podobnym incydentom.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference