CVE-2026-1045: Stored Cross-Site Scripting w wtyczce Viet contact dla WordPress

Co wiadomo

Wtyczka Viet contact dla WordPress do wersji 1.3.2 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i integralności serwisu. Zagrożenie dotyczy głównie środowisk multisite i wymaga uwagi właścicieli takich instalacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Viet contact i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanych działań. Warto także zweryfikować konfigurację multisite i ustawienia unfiltered_html, aby zmniejszyć ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference