Analityczne wykorzystywanie plików cookies
Wrażliwość Stored Cross-Site Scripting w wtyczce LearnPress dla WordPress (CVE-2026-12732)
Wtyczka LearnPress do WordPress ma lukę XSS (CVE-2026-12732) umożliwiającą atakującym wstrzyknięcie skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 8.65%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka LearnPress dla WordPress w wersjach do 4.4.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut shortcode 'class_wrapper_form'. Problem wynika z niewystarczającej sanitizacji i eskapowania danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwego kodu wykonywanego przy odwiedzeniu strony.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwych skryptów, które mogą być wykonane przez innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa środowiska WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LearnPress i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów zapobiegających XSS oraz przegląd konfiguracji zabezpieczeń serwera i aplikacji.