CVE-2026-13253: Stored Cross-Site Scripting w wtyczce Ultimate Post dla WordPress

Co wiadomo

Wtyczka Ultimate Post dla WordPress do wersji 5.0.31 jest podatna na atak Stored Cross-Site Scripting poprzez atrybut 'moreResultsText' bloku ultimate-post/advanced-search. Problem wynika z niewystarczającej sanitacji i ucieczki znaków HTML, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych ataków typu phishing. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ultimate Post i jej instalację. W przypadku braku łatki, należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji za pomocą atrybutu 'moreResultsText'. Regularna weryfikacja i audyt bezpieczeństwa wtyczek jest kluczowa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference