Analityczne wykorzystywanie plików cookies
Wielopostowy Karuzelowy Plugin WordPress narażony na trwały Cross-Site Scripting (CVE-2026-1275)
Wtyczka Multi Post Carousel do WordPressa ma lukę XSS umożliwiającą ataki przez atrybut 'slides'. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 14.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Multi Post Carousel by Category dla WordPressa do wersji 1.4 włącznie zawiera lukę umożliwiającą trwały Cross-Site Scripting (XSS) poprzez atrybut shortcode 'slides'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z poziomem dostępu Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników. Organizacje korzystające z tej wtyczki mogą doświadczyć naruszenia bezpieczeństwa i utraty zaufania użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Multi Post Carousel by Category i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu Contributor i wyższego, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również monitorować oficjalne komunikaty producenta wtyczki.