CVE-2026-0916: Stored XSS w wtyczce Related Posts by Taxonomy dla WordPress

Co wiadomo

Wtyczka Related Posts by Taxonomy dla WordPress do wersji 2.7.6 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'related_posts_by_tax'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań zagrażających bezpieczeństwu użytkowników i integralności serwisu.

Rekomendowane działania administratora

Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki, ogranicz dostęp użytkowników do poziomu niższego niż współtwórca, przeglądaj logi pod kątem podejrzanych aktywności oraz monitoruj strony korzystające z shortcode 'related_posts_by_tax'.

Źródła

• NVD
• Reference
• Reference
• Reference