Analityczne wykorzystywanie plików cookies
Wielokrotne XSS w wtyczce Postalicious dla WordPress (CVE-2026-1266)
Wtyczka Postalicious do WordPress ma podatność XSS w wersjach do 3.0.1, umożliwiającą ataki na instalacje multisite z wyłączonym unfiltered_html.
- CVSS
- 4.4 MEDIUM
- EPSS
- 15.76%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Postalicious dla WordPress do wersji 3.0.1 jest podatna na przechowywany atak Cross-Site Scripting (XSS) w ustawieniach administratora z powodu niewystarczającej sanitacji i ucieczki danych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zmodyfikowanych stron.
Wpływ biznesowy
Podatność ta może umożliwić administratorom złośliwe wstrzyknięcie kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Dotyczy to instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, co ogranicza zakres zagrożenia, ale wymaga uwagi operatorów.
Rekomendowane działania administratora
Zaleca się sprawdzenie dostępności aktualizacji wtyczki Postalicious i ich szybkie wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite lub tam, gdzie unfiltered_html jest wyłączone.