Luka XSS w wtyczce Payment Page | Payment Form for Stripe w WordPress (CVE-2026-0751)

Co wiadomo

Wtyczka Payment Page | Payment Form for Stripe dla WordPress do wersji 1.4.6 zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze 'pricing_plan_select_text_font_family'. Luka pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej autora na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wykorzystać lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo. Wpływa to na integralność i poufność danych oraz może obniżyć zaufanie użytkowników do serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie mechanizmów zapobiegających XSS. Priorytetowo traktować audyt i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference