Analityczne wykorzystywanie plików cookies
CVE-2026-14343: Stored Cross-Site Scripting w wtyczce Download Manager dla WordPress
Podatność XSS w wtyczce Download Manager dla WordPress do wersji 3.3.61 umożliwia wstrzykiwanie złośliwych skryptów przez użytkowników z uprawnieniami współpracownika.
- CVSS
- 6.4 MEDIUM
- EPSS
- 9.5%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Download Manager dla WordPress do wersji 3.3.61 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybuty shortcode 'note_before' i 'note_after'. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współpracownika lub wyższymi wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wpływa to na bezpieczeństwo witryny i może skutkować utratą zaufania klientów oraz koniecznością reagowania na incydenty.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Download Manager i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.