Analityczne wykorzystywanie plików cookies
CVE-2026-0549: Luka XSS w wtyczce Groups dla WordPress
Luka Stored XSS w wtyczce Groups dla WordPress do 3.10.0 umożliwia atakującym wstrzyknięcie złośliwych skryptów. Zalecana szybka aktualizacja i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.07%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Groups dla WordPress do wersji 3.10.0 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'groups_group_info' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej i danych użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Groups i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji wymagających uprawnień współtwórcy, przeprowadzić przegląd logów pod kątem podejrzanych aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Warto również edukować użytkowników o ryzyku i stosować dodatkowe mechanizmy zabezpieczające.