Luka XSS w wtyczce SearchWiz dla WordPress (CVE-2026-0694)

Co wiadomo

Wtyczka SearchWiz dla WordPress do wersji 1.0.0 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez tytuły wpisów w wynikach wyszukiwania. Luka wynika z niewłaściwego filtrowania tytułów, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwego kodu.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty do tytułów wpisów, które wykonają się u każdego użytkownika przeglądającego wyniki wyszukiwania. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki SearchWiz u jej dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej.

Źródła

• NVD
• Reference
• Reference
• Reference