CVE-2026-0691: Stored XSS w wtyczce CM E-Mail Blacklist dla WordPress

Co wiadomo

Wtyczka CM E-Mail Blacklist do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'black_email' w wersjach do 1.6.2 włącznie. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala administratorom na wstrzyknięcie i wykonanie złośliwych skryptów w panelu WordPress, co może prowadzić do przejęcia sesji użytkowników lub modyfikacji zawartości stron. W środowiskach multisite ryzyko rozprzestrzeniania się ataku jest większe, co może wpłynąć na integralność i bezpieczeństwo całej sieci witryn.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki CM E-Mail Blacklist i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć włączenie unfiltered_html lub zastosowanie dodatkowych filtrów wejścia i wyjścia danych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference