CVE-2026-1379: podatność Stored XSS w wtyczce HTTP Headers dla WordPress

Co wiadomo

Wtyczka HTTP Headers dla WordPress do wersji 1.19.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) w ustawieniach administratora z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zmodyfikowanej strony.

Wpływ biznesowy

Podatność ta dotyczy instalacji WordPress w trybie multi-site oraz tam, gdzie wyłączono filtr unfiltered_html. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków wewnętrznych i utraty kontroli nad stronami.

Rekomendowane działania administratora

Zaleca się przejrzenie i aktualizację wtyczki HTTP Headers do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki, ograniczenie dostępu do panelu administratora, weryfikacja ustawień multi-site oraz monitorowanie logów pod kątem podejrzanej aktywności. Warto również rozważyć ponowne włączenie filtru unfiltered_html, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference