CVE-2026-10570: Sympl Repeater dla ACF i Elementor podatny na Stored XSS

Co wiadomo

Wtyczka Sympl Repeater dla ACF i Elementor w WordPress do wersji 2.3 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez wartości pól repeatera ACF. Problem wynika z braku odpowiedniej sanitizacji i escapingu danych w funkcji symp_arfe_replace_content(), co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami autora i wyższymi.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Wpływa to negatywnie na reputację firmy oraz może skutkować naruszeniem zgodności z regulacjami ochrony danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Sympl Repeater dla ACF i Elementor oraz ich wdrożenie. W przypadku braku dostępnej poprawki należy ograniczyć dostęp do funkcji edycji stron do zaufanych użytkowników, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference