Analityczne wykorzystywanie plików cookies
CVE-2026-15296: Stored Cross-Site Scripting w wtyczce affiliate-toolkit – WP Affiliate Plugin z Amazon dla WordPress
Podatność XSS w affiliate-toolkit WP Affiliate Plugin do wersji 3.7.0 umożliwia wstrzykiwanie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 17.04%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka affiliate-toolkit – WP Affiliate Plugin z Amazon dla WordPress do wersji 3.7.0 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'atkp_product' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzykiwanie złośliwego kodu, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów witryny. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających z serwisu opartego na WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki affiliate-toolkit i jej instalację. W przypadku braku łatki, ogranicz dostęp użytkowników do poziomu niższego niż współtwórca oraz przeprowadź przegląd logów pod kątem podejrzanych działań. Dodatkowo warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS oraz monitorowanie witryny pod kątem nietypowego zachowania.