CVE-2026-1055: Luka XSS w wtyczce TalkJS dla WordPress

Co wiadomo

Wtyczka TalkJS dla WordPress do wersji 0.1.15 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań zagrażających bezpieczeństwu i integralności witryny. Zagrożenie dotyczy głównie środowisk multisite i wymaga uwagi właścicieli infrastruktury WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki TalkJS i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów oraz rozważyć włączenie filtru unfiltered_html. Dodatkowo warto monitorować logi serwera pod kątem podejrzanych działań i przeprowadzić audyt bezpieczeństwa instalacji multisite.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference