Analityczne wykorzystywanie plików cookies
Wielokrotne XSS w wtyczce User Language Switch dla WordPress (CVE-2026-0735)
Luka XSS w wtyczce User Language Switch WordPress do 1.6.10 umożliwia ataki administratorom na instalacje multi-site. Zalecane aktualizacje i monitorowanie.
- CVSS
- 4.4 MEDIUM
- EPSS
- 14.88%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka User Language Switch dla WordPress do wersji 1.6.10 zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze 'tab_color_picker_language_switch'. Luka umożliwia administratorom wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Luka dotyczy instalacji WordPress w trybie multi-site oraz tam, gdzie wyłączono filtrację HTML (unfiltered_html). Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Wpływa to na stabilność i zaufanie do usług internetowych opartych na WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki User Language Switch i jej instalację. W przypadku braku łatki, ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć włączenie filtrowania HTML (unfiltered_html) oraz ograniczenie instalacji multi-site, jeśli nie jest to konieczne.