Nazwa wtyczki	Shortcodes Ultimate
Rodzaj podatności	Atak typu cross-site scripting (XSS)
Numer CVE	CVE-2026-3885
Pilność	Niski
Data publikacji CVE	2026-04-15
Adres URL źródła	CVE-2026-3885

Krytyczna aktualizacja: Przechowywane XSS w Shortcodes Ultimate (≤ 7.4.9) — co muszą teraz zrobić administratorzy WordPressa

Data: 15 kwi, 2026
CVE: CVE-2026-3885
Powaga: CVSS 6.5 (Średni) — Łatka dostępna w Shortcodes Ultimate 7.5.0

Niedawno ujawniona luka dotyczy szeroko stosowanej wtyczki Shortcodes Ultimate do WordPressa (wersje do 7.4.9 włącznie). Problem to przechowywana luka Cross-Site Scripting (XSS) w su_box shortcode, która może być wykorzystana przez uwierzytelnionego użytkownika z dostępem na poziomie Współpracownika do przechowywania złośliwych ładunków skryptowych, które są później wykonywane w kontekście użytkowników przeglądających stronę, a potencjalnie także w sesji administratora WordPressa. Autor wtyczki naprawił lukę w wersji 7.5.0 — zaktualizuj natychmiast.

Jako zespół stojący za WP-Firewall (profesjonalny firewall WordPress i usługa zabezpieczeń), publikujemy szczegółową analizę tego problemu, co oznacza dla Twojej strony, jak napastnicy mogą to wykorzystać oraz praktyczne kroki, które możesz podjąć już teraz — w tym tymczasowe środki zaradcze, jeśli nie możesz zaktualizować natychmiast. Ta porada odzwierciedla rzeczywiste praktyki reagowania na incydenty i wzmacniania zabezpieczeń, które stosujemy na co dzień, aby chronić strony WordPress.

---

Szybkie podsumowanie

• Luka: Przechowywane Cross-Site Scripting w su_box shortcode Shortcodes Ultimate (≤ 7.4.9).
• Wymagane uprawnienia: Współpracownik (uwierzytelniony, nie-administrator).
• Złożoność wykorzystania: Wymaga, aby Współpracownik wstawił specjalnie przygotowane treści; uprzywilejowany użytkownik lub odwiedzający stronę musi wyświetlić przechowywaną treść, aby wykorzystanie mogło się zakończyć (wymagana interakcja użytkownika).
• Wpływ: Wykonanie dowolnego JavaScript w kontekście przeglądarki ofiary. Możliwe przejęcie sesji, eskalacja uprawnień, zniekształcenie treści, złośliwe przekierowania lub dostarczenie dalszych ładunków.
• CVE: CVE-2026-3885.
• Naprawa: Natychmiast zaktualizuj Shortcodes Ultimate do 7.5.0 lub nowszej.

---

Co się stało (prosty język)

Shortcodes zapewniają elastyczny sposób osadzania dynamicznych funkcji w postach i stronach. W tym przypadku, obsługiwacz shortcode (su_box) przetwarzał dane dostarczone przez użytkownika i generował HTML, który mógł zawierać niesanitizowane treści lub atrybuty. Gdy pewne przygotowane dane są przechowywane i później renderowane, przeglądarka wykonuje wstrzyknięty JavaScript. Ponieważ użytkownicy na poziomie współpracownika mogą tworzyć lub edytować treści, napastnik z kontem Współpracownika może osadzić złośliwy ładunek, który staje się trwały (przechowywany) na stronie i jest wykonywany później, gdy uprzywilejowany użytkownik lub odwiedzający ładował stronę.

Przechowywane XSS jest szczególnie niebezpieczne: złośliwy skrypt jest zapisywany na serwerze (w poście, meta lub innym polu bazy danych) i wykonywany w dowolnym odpowiednim kontekście później — w tym w obszarze administracyjnym WordPressa, jeśli treść jest tam wyświetlana, co może zwiększyć ogólne ryzyko.

---

Dlaczego to ma znaczenie dla Twojej strony

• Konta współpracowników nie są rzadkością na blogach z wieloma autorami, stronach członkowskich i w procesach redakcyjnych. Każde złośliwe lub skompromitowane konto współpracownika staje się wektorem wstrzyknięcia.
• Przechowywane XSS może prowadzić do przejęcia konta (poprzez przechwytywanie ciasteczek lub tokenów CSRF), zniekształcenia strony lub dostarczenia dodatkowego złośliwego oprogramowania.
• Jeśli ładunki wykonują się w kontekście administratora, napastnicy mogą być w stanie przeprowadzać działania administracyjne, wykorzystując pośrednio uprawnienia administratora.
• Nawet przy średnim wyniku CVSS, przechowywane XSS jest często wykorzystywane w kampaniach masowych, ponieważ jest skalowalne: pojedynczy przechowywany ładunek może wpłynąć na wielu odwiedzających stronę.

---

Realistyczne scenariusze ataków

1. Sabotaż redakcyjny: Współpracownik przesyła post zawierający su_box shortcode z ukrytym złośliwym skryptem. Gdy redaktor lub administrator podgląda post w panelu, skrypt się wykonuje i kradnie token sesji administratora lub wywołuje działania w jego imieniu.
2. Skonfiskowane konto współpracownika: Napastnik uzyskuje dostęp do konta Współpracownika (poprzez ponowne użycie hasła, phishing lub stuffing poświadczeń). Tworzą post z przechowywanym ładunkiem. Z czasem ten post jest indeksowany lub odkrywany przez odwiedzających, którzy są następnie narażeni na ładunek XSS.
3. Interakcja z wykorzystaniem inżynierii społecznej: Nawet jeśli przechowywany ładunek wymaga, aby uprzywilejowany użytkownik kliknął link lub zobaczył podgląd, napastnicy mogą stosować inżynierię społeczną wobec redaktorów (e-mail z linkiem), aby wywołać exploit.
4. Masowe nadużycia: Napastnicy mogą tworzyć wiele złośliwych postów lub treści podobnych do komentarzy (jeśli shortcodes są dozwolone w tych kontekstach), aby maksymalizować zasięg.

---

Szczegóły techniczne (na wysokim poziomie)

• Przyczyna główna: niewystarczające oczyszczanie/ucieczka danych dostarczonych przez użytkownika przetwarzanych przez su_box obsługę shortcode.
• Przechowywanie: ładunki są przechowywane w bazie danych WordPress (zwykle post_content, postmeta, lub podobnych polach, gdzie shortcodes są serializowane).
• Wykonanie: gdy strona renderuje shortcode (czy to na froncie, czy w podglądzie administratora), przechowywany markup jest emitowany na stronę, a przeglądarka wykonuje skrypt.
• Wymagane uprawnienia: Współpracownik (uwierzytelniony). Oznacza to, że atak nie może być wywołany przez nieautoryzowanego odwiedzającego — ale nadal jest niebezpieczny w obecności współpracowników lub gdy konta współpracowników są skompromitowane.

Notatka: Nie zwlekaj — obecność użytkowników na poziomie współpracownika lub słabe kontrole konta znacznie zwiększają ogólne ryzyko.

---

Wskaźniki kompromitacji (IoC) — na co zwracać uwagę

Jeśli podejrzewasz złośliwą działalność lub chcesz proaktywnie sprawdzić nadużycia:

• Nowe lub edytowane posty/strony napisane przez konta współpracowników z podejrzaną treścią lub nieznanymi tytułami.
• Posty lub pola post_content zawierające nieoczekiwane <script> tagi, inline event handlers (onclick, onload), data URIs lub podejrzane bloby base64.
• Nieoczekiwane podglądy administratora lub działania zarejestrowane w tym samym czasie co zmiany treści.
• Nietypowe próby logowania lub wzrost aktywności konta współtwórcy.
• Niespodziewane konta administratorów są tworzone, zmiany uprawnień lub nieznane zaplanowane zadania (wp_cron hooks).
• Połączenia sieciowe wychodzące inicjowane przez skompromitowany serwer: szukaj zewnętrznego sygnalizowania do nieznanych domen.
• Zmodyfikowane pliki rdzenia, pliki wtyczek lub szablony motywów, które zawierają wstrzyknięte skrypty.

Użyj skanera integralności plików i skanera złośliwego oprogramowania WP-Firewall, aby zidentyfikować zmienione pliki i podejrzane ciągi; przeszukaj również bazę danych pod kątem typowych znaczników XSS (tagi skryptów, URI javascript:, obsługiwacze zdarzeń).

---

Natychmiastowe działania (jeśli prowadzisz stronę WordPress)

1. Natychmiast zaktualizuj Shortcodes Ultimate do wersji 7.5.0 lub nowszej (najprostsze, najbezpieczniejsze rozwiązanie).
   • Przejdź do Wtyczki → Zainstalowane wtyczki i zaktualizuj. Jeśli automatyczne aktualizacje są włączone, potwierdź, że aktualizacja zakończyła się pomyślnie.
2. Jeśli nie możesz dokonać aktualizacji natychmiast:
   • Tymczasowo dezaktywuj wtyczkę Shortcodes Ultimate.
   • LUB usuń/dezaktywuj analizowanie su_box shortcode'ów, aż będziesz mógł zaktualizować (zobacz “Szybkie łagodzenia wtyczek” poniżej).
3. Przejrzyj wszystkie treści utworzone lub edytowane przez konta współtwórców w ciągu ostatnich 90 dni; zwróć szczególną uwagę na treści zawierające shortcode'y. Szukaj su_box wystąpieniami.
4. Ogranicz możliwości współtwórców:
   • Cofnij niepotrzebne konta współtwórców.
   • Jeśli współtwórcy muszą przesyłać treści, użyj przepływu pracy, w którym tylko redaktorzy lub administratorzy mogą publikować, i wymagaj ręcznej akceptacji postów przed ich opublikowaniem.
   • Zapewnić Ogranicz uprawnienia użytkowników: obniż lub usuń możliwości z niezaufanych kont i przeglądaj role z uprawnienie jest dostępne tylko dla zaufanych ról (domyślnie jest nieobecne dla współtwórców, ale upewnij się, że nie jest zainstalowana wtyczka łagodząca uprawnienia).
5. Zresetuj hasła i cofnij sesje dla wszelkich podejrzanych kont. Rozważ włączenie uwierzytelniania dwuskładnikowego dla redaktorów i administratorów.
6. Wykonaj kopię zapasową swojej strony przed jakimikolwiek działaniami porządkowymi (baza danych + pliki). Zachowaj kopię offline.
7. Skanuj swoją stronę za pomocą renomowanego skanera złośliwego oprogramowania i przeprowadź kontrolę integralności plików, aby wykryć dodatkowe wskaźniki.
8. Monitoruj logi pod kątem podejrzanego dostępu lub działań administratorów.

---

Szybkie łatanie wtyczek (jeśli jeszcze nie możesz zaktualizować)

• Wyłącz renderowanie shortcode'ów w postach, dodając mały fragment, który usuwa su_box tymczasowo obsługę shortcode'ów. Umieść to w wtyczce specyficznej dla witryny (nie funkcje.php), aby móc łatwo usunąć po aktualizacji:

<?php;

• Ogranicz dostęp dla współautorów do osadzania shortcode'ów, filtrując post_content podczas zapisywania i usuwając su_box użycie dla użytkowników na poziomie współautora.
• Ogranicz możliwość przesyłania HTML/JS przez współautorów, upewniając się, że nie mają uprawnień do przesyłania plików lub Ogranicz uprawnienia użytkowników: obniż lub usuń możliwości z niezaufanych kont i przeglądaj role z jeśli nie jest to wymagane.

To są rozwiązania tymczasowe — zaktualizuj wtyczkę tak szybko, jak to możliwe.

---

Jak zapora aplikacji internetowej (WAF) pomaga — i co robi WP-Firewall

Prawidłowo skonfigurowana WAF zmniejsza narażenie, wykrywając i blokując podejrzane żądania, które niosą ładunki XSS, nawet gdy wtyczki mają luki. WP-Firewall zapewnia kilka warstw ochrony, które pomagają natychmiast złagodzić ten typ podatności:

• Zarządzane zasady WAF dostosowane do shortcode'ów WordPressa i powszechnych kodowań XSS. Nasze sygnatury wykrywają próby przesyłania ładunków podobnych do shortcode'ów z tagami skryptów lub z obfuskowanym JavaScript w danych POST, które celują w punkty końcowe administratora (np. /wp-admin/post.php, /wp-admin/post-new.php).
• Wirtualne łatanie (tymczasowe wdrożenie zasad): Jeśli niezałatana wtyczka ujawnia lukę, WP-Firewall może wdrożyć ukierunkowane zasady, które blokują próby wykorzystania na poziomie HTTP, aż będziesz mógł zaktualizować.
• Skanowanie złośliwego oprogramowania i ciągłe monitorowanie: skanujemy pola bazy danych i pliki, aby wykryć przechowywane ładunki i nowo dodane skrypty.
• Automatyczne łatanie i powiadomienia: natychmiastowe powiadamianie oraz automatyczne blokowanie podejrzanych adresów IP i znanych wzorców wykorzystania.
• Ograniczenie liczby żądań i surowsze kontrole na punktach końcowych związanych z administracją, aby zmniejszyć możliwość nadużywania kont współautorów przez atakujących w celu masowego wykorzystania.

Łatanie WAF uzupełnia — ale nie zastępuje — aktualizacji podatnej wtyczki. Myśl o tym jak o ochronnym bandażu, podczas gdy stosujesz poprawkę.

---

Przykłady wzorców zasad WAF (koncepcyjne wskazówki)

Poniżej znajdują się wzorce koncepcyjne, które używamy wewnętrznie, aby wychwycić prawdopodobne próby wykorzystania. Są one celowo na wysokim poziomie — dokładna składnia reguł będzie się różnić w zależności od silnika WAF. Użyj ich jako inspiracji, jeśli tworzysz niestandardowe reguły.

• Zablokuj żądania POST do punktów końcowych post admina, które zawierają su_box tagi skryptów lub URI javascript:
  • Wykryj wzorce: su_box.*<script|on\w+=|javascript:
• Odrzuć żądania z zakodowanymi ładunkami powszechnie używanymi do XSS (np., %3Cscript%3E, %3Cimg%20onerror=).
• Ogranicz liczbę kont, które tworzą wiele postów/edycji w krótkim czasie.

Przykład (pseudokod podobny do ModSecurity):

SecRule REQUEST_URI "@rx /wp-admin/(post.php|post-new.php)" \"

Notatka: Testowanie reguł w środowisku stagingowym przed wdrożeniem produkcyjnym jest niezbędne. Fałszywe alarmy w regułach WAF mogą zablokować legalne przepływy pracy redakcyjnej.

---

Dla właścicieli stron: lista kontrolna reakcji na incydenty, jeśli podejrzewasz kompromitację

1. Włącz tryb konserwacji na stronie (zmniejsz ekspozycję).
2. Wykonaj pełną kopię zapasową (pliki + migawka bazy danych).
3. Natychmiast zaktualizuj Shortcodes Ultimate do 7.5.0 (lub dezaktywuj wtyczkę, jeśli nie możesz zaktualizować od razu).
4. Cofnij wszystkie aktywne sesje dla kont admina/edytorów; wymuś reset haseł dla współpracowników.
5. Przeskanuj bazę danych w poszukiwaniu podejrzanych skryptów lub wstrzykniętej zawartości (np., <script>, oceniać(, setTimeout z ciągami). Usuń złośliwe fragmenty.
6. Przejrzyj listę użytkowników w celu nowo utworzonych kont na poziomie administratora. Usuń nieznane konta.
7. Sprawdzać opcje_wp, wp_posts, wp_postmeta dla nieoczekiwanego kontentu lub zserializowanych ładunków.
8. Uruchom kontrole integralności systemu plików: porównaj bieżące pliki z nowymi pakietami wtyczek i motywów. Zastąp zmodyfikowane pliki rdzenia/wtyczek znanymi dobrymi kopiami.
9. Rotuj klucze API, dane uwierzytelniające integracji zewnętrznych oraz wszelkie przechowywane sekrety, które mogą być narażone.
10. Wzmocnij dane uwierzytelniające: włącz 2FA dla wszystkich uprzywilejowanych użytkowników, wymuszaj silne hasła i wdrażaj ograniczenia szybkości na punktach logowania.
11. Rozważ zatrudnienie profesjonalnej ekipy sprzątającej, jeśli złośliwe oprogramowanie się utrzymuje lub jeśli naruszenie jest skomplikowane.

---

Długoterminowe wzmocnienie w celu zmniejszenia ryzyka XSS

• Wymuszaj najmniejsze uprawnienia: Współpracownicy nie powinni mieć podwyższonych możliwości. Użyj ścisłego przepływu pracy zatwierdzania redakcyjnego.
• Ogranicz ekspozycję wtyczek: instaluj tylko dobrze utrzymywane wtyczki, usuń nieużywane wtyczki i regularnie monitoruj aktualizacje wtyczek.
• Włącz Politykę Bezpieczeństwa Treści (CSP): CSP zmniejsza wpływ XSS poprzez kontrolowanie dozwolonych źródeł skryptów i zabranianie skryptów inline tam, gdzie to możliwe. Silne CSP może zapobiec wykonaniu wielu przechowywanych ładunków XSS.
• Użyj kodowania wyjścia: zachęcaj autorów motywów/wtyczek do używania odpowiednich funkcji escape (esc_html, esc_attr, wp_kses) podczas wyświetlania treści użytkowników.
• Monitoruj nietypowe zmiany treści: ustaw alerty dla postów edytowanych poza normalnymi godzinami lub przez rzadko aktywnych użytkowników.
• Regularne skanowanie i wirtualne łatanie: połącz okresowe skanowanie podatności z WAF, który może stosować wirtualne łaty, aby zyskać czas, gdy natychmiastowa aktualizacja nie jest możliwa.

---

Wskazówki dla deweloperów (dla autorów wtyczek lub motywów)

Jeśli tworzysz lub utrzymujesz motywy/wtyczki, stosuj te praktyki bezpiecznego kodowania:

• Oczyść dane wejściowe (dezynfekcja_pola_tekstowego, wp_kses) i zakoduj dane wyjściowe (esc_html, esc_attr) na odpowiednim poziomie.
• Nigdy nie zakładaj, że kody skrótów są domyślnie bezpieczne — traktuj wszystkie atrybuty dostarczone przez użytkowników jako nieufne.
• 1. Waliduj i dodawaj do białej listy atrybuty oraz egzekwuj surowe dozwolone HTML za pomocą wp_kses_allowed_html.
• 2. Używaj kontroli nonce i kontroli uprawnień w obsłudze interfejsu administracyjnego.
• 3. Podczas wyświetlania treści, która może zawierać HTML, preferuj sanitizację i usuwanie skryptów zamiast ich kodowania.
• 4. Utrzymuj aktualne zależności i audytuj kod stron trzecich pod kątem odpowiedniego kodowania/sanitizacji.

---

5. Przykład: przeszukiwanie bazy danych w poszukiwaniu podejrzanych wzorców XSS.

6. Szybkie (tylko do odczytu) zapytanie, które Ty lub Twój programista możecie uruchomić na migawce bazy danych, aby dostrzec oczywiste wskaźniki:

• Szukaj post_content dla su_box 7. + tagi skryptów:

8. SELECT ID, post_title, post_date FROM wp_posts WHERE post_content LIKE '%su_box%' AND post_content LIKE '%<script%';

• Szukaj postmeta Lub opcje 9. dla podejrzanych ciągów, takich jak “javascript:” lub “onerror=”:

10. SELECT * FROM wp_postmeta WHERE meta_value LIKE '%javascript:%' OR meta_value LIKE '%onerror=%';

11. Zawsze uruchamiaj zapytania na kopii swojej bazy danych, aby uniknąć przypadkowych zmian.

---

12. Dlaczego aktualizacje są nadal najlepszą obroną

13. WAF-y, tymczasowe zasady i łagodzenia są niezbędne i skuteczne podczas reakcji — ale zastosowanie poprawki dostarczonej przez dostawcę jest jedynym trwałym rozwiązaniem. Zespół Shortcodes Ultimate wydał poprawioną wersję (7.5.0), która rozwiązuje podstawowy problem. Zastosowanie oficjalnej poprawki zapewnia, że ścieżka kodu, która umożliwiła przechowywane XSS, jest poprawnie sanitizowana i eliminuje potrzebę długoterminowych obejść lub kruchych reguł niestandardowych.

---

14. Nowy tytuł akapitu i zaproszenie: Wypróbuj darmowy plan WP-Firewall dla natychmiastowej ochrony

15. Zabezpiecz swoją stronę WordPress w kilka minut — wypróbuj darmowy plan WP-Firewall

16. Jeśli potrzebujesz natychmiastowej warstwy ochrony podczas aktualizacji i przeglądania swojej strony, podstawowy plan WP-Firewall (darmowy) zapewnia niezbędną zarządzaną ochronę zapory, nieograniczoną przepustowość, potężny WAF, skaner złośliwego oprogramowania oraz łagodzenie ryzyk OWASP Top 10 — wszystko bez kosztów na początek. Wirtualne łatanie i sygnatury WAF naszego zespołu mogą pomóc zablokować próby wykorzystania luki w Shortcodes Ultimate podczas stosowania oficjalnej aktualizacji wtyczki. su_box 17. Zabezpiecz się teraz.

18. Standardowy ($50/rok): wszystko w planie podstawowym plus automatyczne usuwanie złośliwego oprogramowania oraz kontrola czarnej/białej listy dla maksymalnie 20 adresów IP.

Najważniejsze cechy planu:

• Basic (Darmowy): zarządzany firewall, nielimitowana przepustowość, WAF, skaner złośliwego oprogramowania, łagodzenie ryzyk OWASP Top 10.
• 19. Pro ($299/rok): wszystkie funkcje standardowe plus miesięczne raporty bezpieczeństwa, automatyczne wirtualne łatanie luk oraz premium dodatki (Dedykowany Menedżer Konta, Optymalizacja Bezpieczeństwa, Token Wsparcia WP, Zarządzana Usługa WP, Zarządzana Usługa Bezpieczeństwa).
• Pro ($299/rok): wszystkie funkcje Standardowe oraz miesięczne raporty bezpieczeństwa, automatyczne wirtualne łatanie luk, oraz dodatki premium (Dedykowany Menedżer Konta, Optymalizacja Bezpieczeństwa, Token Wsparcia WP, Zarządzana Usługa WP, Zarządzana Usługa Bezpieczeństwa).

---

Ostateczne zalecenia — lista kontrolna do działania dzisiaj

1. Zaktualizuj Shortcodes Ultimate do 7.5.0 (lub nowszej) już teraz.
2. Jeśli nie możesz zaktualizować od razu, dezaktywuj wtyczkę lub usuń su_box obsługę shortcode, aż będziesz mógł załatać.
3. Przeprowadź audyt całej treści stworzonej przez konta Contributor i poszukaj podejrzanych skryptów i shortcode'ów.
4. Wzmocnij konta i wprowadź proces zatwierdzania (Redaktorzy/Administratorzy przeglądają zgłoszenia Contributorów).
5. Wdroż WAF lub włącz wirtualne łatanie, aby zablokować próby wykorzystania w krótkim okresie. Podstawowy darmowy plan WP-Firewall może zapewnić natychmiastową, zarządzaną ochronę WAF podczas naprawy. (https://my.wp-firewall.com/buy/wp-firewall-free-plan/)
6. Włącz monitorowanie i regularne skanowanie; przeprowadź kontrolę integralności plików.
7. Wprowadź długoterminowe środki: CSP, wzmocnienie możliwości i kodowanie wyjścia.

---

Podsumowanie

Ta podatność XSS przechowywana w Shortcodes Ultimate jest kolejnym przypomnieniem, jak ważne są warstwowe zabezpieczenia: nawet konta o niższych uprawnieniach mogą być wykorzystane, przechowywane ładunki są trwałe, a wpływ może być poważny, gdy podglądy administratora lub inne uprzywilejowane widoki renderują złośliwą treść.

Zastosowanie oficjalnej aktualizacji wtyczki jest najskuteczniejszym działaniem. Uzupełnij to natychmiastową ochroną WAF, skanowaniem bazy danych, wzmocnieniem możliwości i rygorystycznymi procesami redakcyjnymi, aby zredukować przyszłe ryzyko. Jeśli zarządzasz wieloma stronami lub klientami, automatyzacja aktualizacji i korzystanie z wirtualnego łatania to sprawdzone oszczędności czasu dla zespołów bezpieczeństwa.

Jeśli potrzebujesz pomocy w wdrażaniu tych środków zaradczych, wdrażaniu wirtualnych łatek lub przeprowadzaniu pełnego czyszczenia i audytu, darmowy plan WP-Firewall zapewnia natychmiastową ochronę WAF i dostęp do skanera — a nasz zespół wsparcia może pomóc Ci ustalić priorytety następnych kroków w celu zabezpieczenia Twojego środowiska.

Bądź bezpieczny i działaj szybko: zaktualizuj Shortcodes Ultimate do 7.5.0 teraz.