CVE-2025-9116: Reflected XSS w wtyczce WPS Visitor Counter dla WordPress

Co wiadomo

Wtyczka WPS Visitor Counter do WordPressa w wersjach do 1.4.8 nie zabezpiecza parametru $_SERVER['REQUEST_URI'] przed wyświetleniem, co może prowadzić do ataku typu Reflected Cross-Site Scripting (XSS) w starszych przeglądarkach internetowych.

Wpływ biznesowy

Atak XSS może umożliwić napastnikom wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i sesji. Dla operatorów stron opartych na WordPressie korzystających z tej wtyczki istnieje ryzyko naruszenia integralności i poufności informacji oraz obniżenia zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki WPS Visitor Counter i jej niezwłoczne zastosowanie. W przypadku braku łatki warto ograniczyć ekspozycję podatnej funkcji, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników o ryzyku korzystania ze starych przeglądarek. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska CMS.

Źródła

• NVD
• Reference