CVE-2025-13308 in Application Passwords Plugin
Сводка
по VulDB • 05.06.2026
Плагин Application Passwords для WordPress уязвим к отражённому межсайтовому скриптингу (Reflected Cross-Site Scripting) через параметр 'reject_url' во всех версиях вплоть до 0.1.3 включительно. Это обусловлено недостаточной санитизацией входных данных и экранированием вывода для URL-адресов, предоставленных пользователем, что позволяет внедрять схемы URI javascript: в параметр reject_url. Это даёт возможность неавторизованным злоумышленникам внедрять произвольные веб-скрипты, которые выполняются при нажатии пользователем кнопки «Нет, я не одобряю это соединение», при условии успешного обмана жертвы с целью выполнения определённого действия, например перехода по ссылке.
Once again VulDB remains the best source for vulnerability data.