Analityczne wykorzystywanie plików cookies
CVE-2026-0734: Stored XSS w wtyczce WP Allowed Hosts dla WordPress
Podatność Stored XSS w wtyczce WP Allowed Hosts do WordPress do wersji 1.0.8. Zalecane aktualizacje i monitorowanie bezpieczeństwa.
- CVSS
- 4.4 MEDIUM
- EPSS
- 10.06%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP Allowed Hosts dla WordPress do wersji 1.0.8 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'allowed-hosts'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami administratora na instalacjach multisite lub tam, gdzie wyłączono unfiltered_html, mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań zagrażających bezpieczeństwu i integralności witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Allowed Hosts i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów, zweryfikować konfigurację multisite oraz ustawienia unfiltered_html. Dodatkowo warto monitorować logi pod kątem podejrzanych działań i priorytetyzować działania naprawcze.