CVE-2026-13245: Reflected Cross-Site Scripting w wtyczce MaxButtons dla WordPress

Co wiadomo

Wtyczka MaxButtons – Create buttons dla WordPress jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'view' w wersjach do 9.8.5 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych nieautoryzowanych działań. Zagrożenie dotyczy przede wszystkim stron korzystających z tej wtyczki, co może negatywnie wpłynąć na reputację i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki MaxButtons i jej aktualizację do najnowszej wersji. W międzyczasie ogranicz ekspozycję podatnego parametru 'view', monitoruj logi serwera pod kątem podejrzanych żądań oraz edukuj użytkowników w zakresie unikania klikania podejrzanych linków.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference