CVE-2026-12924: Wrażliwość Stored XSS w wtyczce Eventin dla WordPress

Co wiadomo

Wtyczka Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) dla WordPress do wersji 4.1.15 zawiera lukę Stored Cross-Site Scripting (XSS) w parametrze 'etn_faq_content' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania zainfekowanych stron.

Wpływ biznesowy

Luka pozwala na wstrzyknięcie i wykonanie złośliwego kodu JavaScript przez użytkowników z uprawnieniami współtwórcy i wyższymi, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych. Wtyczki WordPress są często celem ataków, dlatego ważne jest szybkie reagowanie na takie zagrożenia.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Eventin u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawki bezpieczeństwa. W międzyczasie ogranicz dostęp do funkcji edycji dla użytkowników o uprawnieniach współtwórcy i wyższych oraz monitoruj logi serwera pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd i oczyszczenie potencjalnie zainfekowanych stron.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference