Analityczne wykorzystywanie plików cookies
CVE-2026-10100: Wrażliwość Stored XSS w wtyczce Simple Custom Login Page dla WordPress
Wtyczka Simple Custom Login Page do WordPress ma lukę Stored XSS w ustawieniach kolorów, umożliwiającą ataki phishingowe i manipulacje UI na stronie logowania.
- CVSS
- 4.4 MEDIUM
- EPSS
- 8.19%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Simple Custom Login Page dla WordPress do wersji 1.0.3 zawiera lukę Stored Cross-Site Scripting w polach ustawień kolorów, umożliwiając administratorom wstrzyknięcie złośliwych reguł CSS na stronę logowania. Luka wynika z niewystarczającej sanitacji danych i nieprawidłowego ich wyświetlania w kontekście CSS.
Wpływ biznesowy
Atakujący z uprawnieniami administratora mogą zmodyfikować wygląd strony logowania, co może prowadzić do ataków phishingowych i manipulacji interfejsem użytkownika. Może to skutkować wyciekiem danych uwierzytelniających użytkowników oraz obniżeniem zaufania do serwisu. Właściciele infrastruktury powinni zwrócić uwagę na potencjalne ryzyko związane z dostępem administratorów do wtyczek i monitorować podejrzane działania.
Rekomendowane działania administratora
Zaleca się sprawdzenie dostępności aktualizacji wtyczki Simple Custom Login Page i ich niezwłoczne zastosowanie. W przypadku braku łatki należy ograniczyć dostęp administratorów do wtyczki oraz monitorować logi pod kątem nietypowych zmian w stylach strony logowania. Warto również rozważyć wdrożenie dodatkowych mechanizmów ochrony przed XSS i phishingiem na poziomie aplikacji.