Tickera WordPress Plugin podatny na Stored Cross-Site Scripting (CVE-2026-13755)

Co wiadomo

Wtyczka Tickera – Sell Tickets & Manage Events dla WordPress do wersji 3.6.0.0 jest podatna na atak Stored Cross-Site Scripting poprzez atrybut shortcode 'price_wrapper'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się u użytkowników mających w koszyku określony bilet.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do kradzieży sesji, manipulacji danymi użytkowników lub innych działań szkodliwych. Zagrożenie dotyczy tylko użytkowników, którzy dodali do koszyka określony bilet, co ogranicza zakres ataku, jednak nadal stanowi istotne ryzyko dla integralności i bezpieczeństwa witryny oraz jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tickera i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z atrybutu 'price_wrapper'.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference