CVE-2026-15297: Reflected Cross-Site Scripting w wtyczce Brevo dla WordPress

Co wiadomo

Wtyczka Newsletter, SMTP, Email marketing i Subscribe forms firmy Brevo (dawniej Sendinblue) dla WordPress jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr page we wszystkich wersjach do 3.1.77 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się po nakłonieniu użytkownika do kliknięcia w spreparowany link. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych działań na koncie użytkownika, co stanowi zagrożenie dla integralności i bezpieczeństwa witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Brevo i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników w zakresie unikania klikania w podejrzane linki. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference