CVE-2026-15010: Stored Cross-Site Scripting w wtyczce bbp Style Pack dla WordPress

Co wiadomo

Wtyczka bbp Style Pack do WordPressa w wersjach do 6.4.5 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w funkcji obsługującej dodatkowe pola formularza tematów. Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami subskrybenta i wyższymi wstrzyknięcie złośliwego skryptu, który wykonuje się podczas przeglądania zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami do tworzenia tematów w bbPress mogą wykorzystać tę lukę do wstrzyknięcia złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki bbp Style Pack i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji tworzenia tematów do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference