CVE-2025-13007
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WP Social Ninja dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) we wszystkich wersjach do 3.20.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych pochodzących ze źródeł zewnętrznych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę, pod warunkiem że mogą opublikować złośliwą treść w powiązanym profilu Google Business lub na stronie Facebook.
Ocena ryzyka
Może dojść do wykonania złośliwego kodu JavaScript w przeglądarce użytkownika, co grozi kradzieżą sesji lub przejęciem konta.
Rekomendacja
Zaktualizuj wtyczkę WP Social Ninja do wersji nowszej niż 3.20.3.
Inne podatności w WP Social Ninja
Zobacz wszystkie- CVE-2026-65521Średnie
Wtyczka WP Social Ninja w wersjach do 4.3.0 zawiera podatność na nieuwierzytelniony wyciek wrażliwych danych. Osoba atakująca bez logowania może uzyskać dostęp do poufnych informacji.
- CVE-2025-13880Średnie
Wtyczka WP Social Ninja – Embed Social Feeds, Customer Reviews, Chat Widgets (Google Reviews, YouTube Feed, Photo Feeds, and More) dla WordPressa jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach getAdvanceSettings i saveAdvanceSettings we wszystkich wersjach do 4.0.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przeglądanie i modyfikowanie zaawansowanych ustawień wtyczki.
Oryginalny opis (angielski, źródło NVD)
The WP Social Ninja – Embed Social Feeds, Customer Reviews, Chat Widgets plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 3.20.3 due to insufficient input sanitization and output escaping on externally-sourced content. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page, granted they can post malicious content to a connected Google Business Profile or Facebook page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS