CVE-2026-13726: Reflected Cross-Site Scripting w wtyczce MPG WordPress

Co wiadomo

Wtyczka MPG dla WordPress w wersjach przed 4.1.8 nie sanitizuje i nie ucieka parametru przed jego odbiciem w odpowiedzi, co umożliwia nieautoryzowanym atakującym przeprowadzenie ataku Reflected Cross-Site Scripting (XSS) na użytkownika, który wyśle specjalnie spreparowane żądanie.

Wpływ biznesowy

Atak XSS może prowadzić do kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w kontekście użytkownika. Operatorzy stron korzystających z wtyczki MPG powinni być świadomi ryzyka związanego z tą podatnością, zwłaszcza jeśli ich użytkownicy mogą zostać nakłonieni do kliknięcia w złośliwe linki.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki MPG do wersji 4.1.8 lub nowszej, w której podatność została załatana. W międzyczasie warto ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników o ryzyku klikania w nieznane linki.

Źródła

• NVD
• Reference