CVE-2026-0862: Reflected XSS w wtyczce Save as PDF Plugin by PDFCrowd dla WordPress

Co wiadomo

Wtyczka Save as PDF Plugin by PDFCrowd dla WordPress do wersji 4.5.5 jest podatna na atak typu Reflected Cross-Site Scripting (XSS) poprzez parametr 'options' z powodu niewystarczającej sanitacji danych wejściowych i braków w escapingu wyjścia. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link, pod warunkiem, że klucz API PDFCrowd jest pusty lub znany.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie jest szczególnie istotne, gdy wtyczka działa w trybie demo z pustym kluczem API, co zwiększa ryzyko wykorzystania luki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie i aktualizację wtyczki Save as PDF Plugin by PDFCrowd do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć ekspozycję wtyczki, zweryfikować konfigurację klucza API, monitorować logi pod kątem podejrzanej aktywności oraz edukować użytkowników w zakresie unikania klikania w nieznane linki.

Źródła

• NVD
• Reference
• Reference