CVE-2026-1373: podatność Stored XSS w wtyczce Easy Author Image dla WordPress

Co wiadomo

Wtyczka Easy Author Image dla WordPress do wersji 1.7 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'author_profile_picture_url'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej subskrybenta wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wykorzystać tę podatność do wstrzyknięcia i wykonania złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny. Może to wpłynąć na integralność i zaufanie do serwisu internetowego oraz spowodować potencjalne szkody dla użytkowników i właścicieli infrastruktury.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy Author Image i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub niższego oraz monitorować logi pod kątem podejrzanych aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS oraz przeprowadzić audyt bezpieczeństwa witryny.

Źródła

• NVD
• Reference
• Reference