CVE-2026-1268: Stored Cross-Site Scripting w wtyczce Dynamic Widget Content dla WordPress

Co wiadomo

Wtyczka Dynamic Widget Content dla WordPress do wersji 1.3.6 zawiera lukę typu Stored Cross-Site Scripting (XSS) w polu zawartości widgetu w bocznym pasku edytora Gutenberg. Luka wynika z niewystarczającej sanitacji i escapingu danych wprowadzanych przez użytkownika, co pozwala atakującym z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla witryny i jej użytkowników. Właściciele stron powinni traktować tę lukę jako poważne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Dynamic Widget Content i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i audyty bezpieczeństwa pomogą w identyfikacji i eliminacji podobnych zagrożeń.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference