CVE-2026-11591: Stored Cross-Site Scripting w wtyczce Widgets for Google Reviews dla WordPress

Co wiadomo

Wtyczka Widgets for Google Reviews dla WordPress do wersji 13.3 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitizacji danych wejściowych i ucieczki znaków. Luka umożliwia atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, co może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika. Może to skutkować kradzieżą sesji, manipulacją treścią strony lub innymi atakami skierowanymi na użytkowników i administratorów. Operatorzy powinni ocenić ryzyko w środowiskach z wieloma witrynami i ograniczyć uprawnienia edytorów tam, gdzie to możliwe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy, zwłaszcza w środowiskach multisite. Przeanalizuj logi pod kątem podejrzanych działań i rozważ zastosowanie dodatkowych mechanizmów filtrowania treści oraz monitorowania zmian w ustawieniach wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference