CVE-2026-1187: Luka XSS w wtyczce ZoomifyWP Free dla WordPress

Co wiadomo

Wtyczka ZoomifyWP Free dla WordPress do wersji 1.1 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'filename' shortcode'u 'zoomify'. Luka wynika z niewystarczającej sanitacji i eskapowania danych wejściowych, co umożliwia atakującym z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwego kodu.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ZoomifyWP Free i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Contributor i wyżej oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto rozważyć zastosowanie mechanizmów ochrony przed XSS oraz przegląd konfiguracji zabezpieczeń WordPressa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference