CVE-2026-15394: podatność XSS w wtyczce Header Footer Script Adder dla WordPress

Co wiadomo

Wtyczka Header Footer Script Adder dla WordPress do wersji 2.1 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych w polu 'asm_code'. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie autora w WordPress wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa witryn opartych na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, warto rozważyć zastosowanie mechanizmów WAF blokujących podejrzane żądania oraz edukować użytkowników o potencjalnych zagrożeniach.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference