CVE-2026-0555: podatność Stored XSS w wtyczce Premmerce dla WordPress

Co wiadomo

Wtyczka Premmerce dla WordPress do wersji 1.3.20 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez punkt AJAX 'premmerce_wizard_actions'. Brak odpowiednich kontroli uprawnień oraz niewystarczająca sanitacja i escapowanie parametru 'state' umożliwiają wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami subskrybenta i wyższymi.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wstrzykiwać złośliwe skrypty, które wykonują się na stronie administratora Premmerce Wizard, co może prowadzić do kradzieży sesji, manipulacji danymi lub dalszych ataków na użytkowników i infrastrukturę. Zagrożenie to wpływa na bezpieczeństwo witryny i może skutkować utratą zaufania klientów oraz koniecznością kosztownych działań naprawczych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Premmerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do punktu AJAX tylko do zaufanych użytkowników, przeprowadzić przegląd logów pod kątem podejrzanych aktywności oraz monitorować system pod kątem nietypowych zachowań. Warto również rozważyć dodatkowe mechanizmy filtrowania i walidacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference