CVE-2026-15283: WPvivid Backup for MainWP - podatność na Stored Cross-Site Scripting

Co wiadomo

Wtyczka WPvivid Backup for MainWP dla WordPressa do wersji 0.9.33 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania nieautoryzowanego kodu JavaScript w kontekście przeglądarki administratora lub innych użytkowników, co może skutkować kradzieżą sesji, manipulacją danymi lub innymi atakami na infrastrukturę WordPress. Zagrożenie dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona, co ogranicza skalę ryzyka, ale nadal wymaga uwagi ze strony operatorów IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki WPvivid Backup for MainWP i aktualizację do najnowszej dostępnej wersji po wydaniu poprawki przez producenta. W międzyczasie warto ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multisite lub tam, gdzie unfiltered_html jest wyłączone.

Źródła

• NVD
• Reference
• Reference