CVE-2026-0609: Stored Cross-Site Scripting w wtyczce Logo Slider dla WordPress

Co wiadomo

Wtyczka Logo Slider dla WordPress do wersji 4.9.0 zawiera lukę typu Stored Cross-Site Scripting (XSS) poprzez nieprawidłową obsługę tekstu alternatywnego obrazów w shortcode 'logo-slider'. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia atakującym z uprawnieniami autora wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele infrastruktury powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Logo Slider i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd i oczyszczenie zawartości stron z potencjalnie złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference