CVE-2026-15295: Stored Cross-Site Scripting w wtyczce WordPress Infinite Scroll – Ajax Load More

Co wiadomo

Wtyczka WordPress Infinite Scroll – Ajax Load More do wersji 7.0.1 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i integralności witryny. Zagrożenie jest istotne dla właścicieli stron WordPress korzystających z multisite oraz wyłączających filtrację HTML.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Infinite Scroll – Ajax Load More i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanych działań oraz rozważyć włączenie filtracji unfiltered_html, jeśli to możliwe. Przegląd konfiguracji multisite i audyt wtyczek pod kątem podobnych luk również jest wskazany.

Źródła

• NVD
• Reference
• Reference