Luka Stored Cross-Site Scripting w wtyczce myCred dla WordPress (CVE-2026-0550)

Co wiadomo

Wtyczka myCred dla WordPress do wersji 2.9.7.3 jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'mycred_load_coupon' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z dostępem na poziomie współautora lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki myCred do wersji po 2.9.7.3, w której luka została załatana. W przypadku braku dostępnej aktualizacji należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'mycred_load_coupon'. Regularnie przeglądaj aktualizacje bezpieczeństwa od dostawcy wtyczki.

Źródła

• NVD
• Reference
• Reference